Web安全—文件包含漏洞（RFI&LFI）

文件包含函数（RFI&LFI）

ASP和JSP只能实现本地文件包含，PHP既可以本地文件包含也可以远程文件包含

1，文件包含漏洞简介：

在日常的应用开发中，开发者会将常用的功能模块单独实现，然后通过inclue()等常见函数去单独调用对应功能的文件代码，如果此时文件包含被设置为了一个变量且未对输入的值进行过滤，攻击者恶意输入就会导致文件包含漏洞发生。

2，文件包含漏洞原理：

文件包含函数的值被定义为一个变量，可控制的函数变量值和恶意输入导致文件包含漏洞产生，不管什么扩展名的文件，只要被文件函数引用。

3，文件包含常用函数：

PHP包含函数：include(),include_once(),require(),require_once(),fopen(),readfile()函数

JSP/Servlet包含函数：ava.io.file(),java.io.filereader()

ASP包含函数:include file,include virtual

常见函数含义：
include()：包含并运行指定文件，当包含外部文件发生错误时，系统给出告警，但整个PHP文件会继续执行。
require()：和include不同的点是，当产生错误的时候，include会继续运行，require()则停止运行
include_once():函数意义和include()基本相同，只是相比include()运行之前会对外部包含的文件进行检测，判断该文件是否被导入，如果执行一遍则不会重复执行了。
require_once()：函数和require()含义几乎相同，区别和inclue和include_once区别相同。
PHP配置文件php.ini与文件包含相关：
allow_url_fopen=on/off参数：通过on和off来决定是否可以包含本地文件
allow_url_include=on/off参数：通过on和off来决定是否可以包含远程文件

4，文件包含漏洞利用方式：

本地文件包含利用方式：
1，相对路径调用文件（…/)
2，伪协议file读取和调用本地文件，伪协议filter://读取本地文件，input://命令执行和代码执行
远程文件包含利用方式：
伪协议HTTP，FTP，HTTPS利用

5，文件包含漏洞预防&绕过方式：

一：预防一
预防：过滤file，http，https和…/等常见协议和利用方法
绕过：使用多个输入绕过过滤，例如hthttp，ffileile等
二：预防二
预防：使用fnmatch函数对输入的值进行检查，只允许符合的值通过
绕过：使用fnmatch函数允许的值进行绕过
三：预防三
预防：白名单固定，将包含的文件固定，只允许包含的文件通过
绕过：无法绕过

参考文章：

文件包含漏洞