iwebsec靶场文件包含漏洞通关笔记5-远程文件包含绕过

mooyuan天天

已于 2025-04-21 23:35:21 修改

阅读量1.7k

点赞数 27

分类专栏： iwebsec靶场文章标签： web安全 iwebsec 文件包含漏洞远程文件包含

于 2024-04-20 21:37:31 首次发布

本文链接：https://blog.csdn.net/mooyuan/article/details/128070881

版权

iwebsec靶场专栏收录该内容

55 篇文章

订阅专栏

前言

PHP的文件包含可以直接执行包含文件的代码，包含的文件格式是不收限制的，只要能正常执行即可。文件包含函数有include、include_once，require、require_once。他们之前的区别就是include遇到报错还会执行下面的代码，require则是会报错退出程序。

文件上传的截断绕过通常源码包含如下字段，比如说传入的参数filename=phpinfo.txt，那么include时会为文件名加上 .html后缀，于是include的文件名就变为了phpinfo.txt.html，这样会导致文件包含漏洞利用出现失败。于是如何进行漏洞渗透，使得此时渗透过程中即便传入的参数为phpinfo.txt，但是包含的文件仍为phpinfo.txt，这个后缀.html加不到后面，就可以绕过这个文件包含的过滤了。

    $filename  = $_GET['filename'];
    include($filename . ".html");

通常来讲文件包含的绕过方法为%00截断以及字符长度截断法。

1.%00截断

前提是php<5.3.4且 magic_quotes_gpc=off，原理是%00是被会url解码成0x00,如果遇到0x00，就会认为读取已结束，所以导致截断。

2.问号截断

这种阶段方法不受magic_quotes_gpc和PHP版本号的影响，值得注意的是此绕过仅对远程文件包含有效，webserver会把问号当作请求的参数，后面的内容自然就可以忽略，不过这种方法对本地文件包含并不生效。

3.#号截断法

在井号#后面添加html字符串，#会截断后面的扩展名，从而绕过过滤名的过滤

号要进行URL编码，这里要注意编码为%23

第05关远程文件包含绕过

1.打开靶场

iwebsec 靶场漏洞库iwebsechttp://iwebsec.com:81/fi//05.php打开后靶场如下所示

2.源码分析

如下所示，源码包含include函数具备文件包含漏洞

<?php

  require_once('../header.php');
  ?>
<html>
	<head>
		<title>远程文件包含绕过</title>
	</head>
	<h2>远程文件包含绕过</h2>
		<div class="alert alert-success">
			<p>/05.php?filename=http://127.0.0.1/vuln/fi/test.txt%23 </p>
		</div>
	<body>
<?php
	if(isset($_GET['filename'])){
	
    $filename  = $_GET['filename'];
    include($filename . ".html");
	}else{
		exit();
	}
	
?>

这段代码与第02关内容一样，对filename的处理源码如下所示，是将文件名后加上.html的后缀，也就是如果filename=test.txt，那么include的文件未test.txt.html。

    $filename  = $_GET['filename'];
    include($filename . ".html");

就是说无论传入任意后缀的文件，尾部都会被加上.html后缀，那么考虑用%00截断方法，这样可以将后面的.html截断，include函数传入的参数仍为原始文件名。

0x00是十六进制表示方法，是ascii码为0的字符，在有些函数处理时，会把这个字符当做结束符。系统在对文件名的读取时，如果遇到0x00，就会认为读取已结束。这个可以用在对文件类型名的绕过上。如果文件名为test.txt%00，尾部加上.html后缀后拼接后就是

test.txt%00.html

由于服务器在对文件读取时遇到%00时，会认为字符已经结束，于是文件名又变回了

test.txt

3.00截断的条件

第一点：PHP的版本要小于5.3.4 <

第二点：php中的设置文件php.ini中的 magic_quotes_gpc 要关闭,

若想修改magic_quotes_gpc,需要修改php.ini文件，将magic_quotes_gpc关闭掉，记得修改后将Apache服务重启。

4.文件包含00截断绕过

使用%00截断法，在文件名尾部加上%00

05.php?filename=http://127.0.0.1/fi/test.txt%00

iwebsec 靶场漏洞库iwebsechttp://iwebsec.com:81/fi//05.php?filename=http://127.0.0.1/fi/test.txt%00

5.问号截断

http://iwebsec.com:81/fi/05.php?filename=http://127.0.0.1/fi/test.txt?

6.#号截断

http://iwebsec.com:81/fi/05.php?filename=http://127.0.0.1/fi/test.txt%23

iwebsec靶场 文件包含漏洞通关笔记5-远程文件包含绕过

前言

1.%00截断

2.问号截断

3.#号截断法

第05关 远程文件包含绕过

1.打开靶场

2.源码分析

3.00截断的条件

4.文件包含00截断绕过

5.问号截断

6.#号截断

iwebsec靶场文件包含漏洞通关笔记5-远程文件包含绕过

第05关远程文件包含绕过