DVWA(四)-File Inclusion(文件包含)

文件包含: 允许攻击者包含文件，通常利用目标应用程序中实现的“动态文件包含”机制。由于在没有正确验证的情况下使用用户提供的输入而发生此漏洞。

环境: 使用物理机(win10 x64)访问搭建了DVWA的虚拟机(win7 x86)，IP为:192.168.157.137

问题: 在文件包含模块上提示PHP函数allow_url_include未启用。

解决:


在配置文件中修改Off为on,重启服务.

Low

Low源码

<?php 

// The page we wish to display 
$file = $_GET[ 'page' ]; 

?> 

打开哪个网页通过page后的文件来确定.

http://192.168.157.137/DVWA-master/vulnerabilities/fi/?page=file2.php

尝试查看服务器的任意文件.


或者是进行远程文件包含:

Medium

Medium源码

<?php 

// The page we wish to display 
$file = $_GET[ 'page' ]; 

// Input validation 
$file = str_replace( array( "http://", "https://" ), "", $file ); 
$file = str_replace( array( "../", "..\"" ), "", $file ); 

?> 

分析: 与Low级别不同的是,将http:// , https://以及可以查看任意文件的’…/’,’…'进行了过滤，也就是过滤了远程文件包含和相对路径的本地文件包含。

解决思路：
对于远程文件包含，可以利用内嵌的组合形式进行绕过，如hthttps://tps://等。
本地文件包含，可以使用绝对路径绕过，有些文件的路径是轻易不会改变。

本地文件包含(使用绝对路径):

远程文件包含,使用hthttps://tp://绕过过滤,因为https://被过滤为’’,所以只剩下http://符合要求:

High

High源码:

<?php 

// The page we wish to display 
$file = $_GET[ 'page' ]; 

// Input validation 
if( !fnmatch( "file*", $file ) && $file != "include.php" ) { 
    // This isn't the page we want! 
    echo "ERROR: File not found!"; 
    exit; 
} 

?> 

分析: page的值是否是include.php或者是以file开头,本质就是利用白名单机制进行过滤.

解决思路:

1. 程序并没有限定file后的长度,所以可以使用

file://绝对路径

进行本地文件的读取:

Impossible

Impossible源码

<?php 

// The page we wish to display 
$file = $_GET[ 'page' ]; 

// Only allow include.php or file{1..3}.php 
if( $file != "include.php" && $file != "file1.php" && $file != "file2.php" && $file != "file3.php" ) {
    // This isn't the page we want! 
    echo "ERROR: File not found!"; 
    exit; 
} 

?>

经典的最小信任原则,只允许四个文件通过,最安全.