文件包含: 允许攻击者包含文件,通常利用目标应用程序中实现的“动态文件包含”机制。由于在没有正确验证的情况下使用用户提供的输入而发生此漏洞。
环境: 使用物理机(win10 x64)访问搭建了DVWA的虚拟机(win7 x86),IP为:192.168.157.137
问题: 在文件包含模块上提示PHP函数allow_url_include未启用。
解决:
在配置文件中修改Off为on,重启服务.
Low
Low源码
<?php
// The page we wish to display
$file = $_GET[ 'page' ];
?>
打开哪个网页通过page后的文件来确定.
http://192.168.157.137/DVWA-master/vulnerabilities/fi/?page=file2.php
尝试查看服务器的任意文件.
或者是进行远程文件包含:
Medium
Medium源码
<?php
// The page we wish to display
$file = $_GET[ 'page' ];
// Input validation
$file = str_replace( array( "http://", "https://" ), "", $file );
$file = str_replace( array( "../", "..\"" ), "", $file );
?>
分析: 与Low级别不同的是,将http:// , https://以及可以查看任意文件的’…/’,’…'进行了过滤,也就是过滤了远程文件包含和相对路径的本地文件包含。
解决思路:
对于远程文件包含,可以利用内嵌的组合形式进行绕过,如hthttps://tps://等。
本地文件包含,可以使用绝对路径绕过,有些文件的路径是轻易不会改变。
本地文件包含(使用绝对路径):
远程文件包含,使用hthttps://tp://绕过过滤,因为https://被过滤为’’,所以只剩下http://符合要求:
High
High源码:
<?php
// The page we wish to display
$file = $_GET[ 'page' ];
// Input validation
if( !fnmatch( "file*", $file ) && $file != "include.php" ) {
// This isn't the page we want!
echo "ERROR: File not found!";
exit;
}
?>
分析: page的值是否是include.php或者是以file开头,本质就是利用白名单机制进行过滤.
解决思路:
- 程序并没有限定file后的长度,所以可以使用
file://绝对路径
进行本地文件的读取:
Impossible
Impossible源码
<?php
// The page we wish to display
$file = $_GET[ 'page' ];
// Only allow include.php or file{1..3}.php
if( $file != "include.php" && $file != "file1.php" && $file != "file2.php" && $file != "file3.php" ) {
// This isn't the page we want!
echo "ERROR: File not found!";
exit;
}
?>
经典的最小信任原则,只允许四个文件通过,最安全.