文件包含漏洞

关注

原创 2023-02-03 09:54:43 388 阅读 AI 写同款· GEO 优化 ›

【文件包含】文件包含漏洞知识总结【文件包含】文件包含漏洞知识总结 Hello，各位小伙伴周五好~ 这里是你们的劳模小编~ 之前一期，我们已经一起总结了文件上传和文件解析漏洞。今天我们就一起来看看文件包含漏洞吧~ 一、什么是文件包含漏洞？ 1、文件包含概述和SQL注入等攻击方式一样，文件包含漏洞也是一种“注入型漏洞”，其本质就是输入一段用户能够控制的脚本或者代码，并让服务器端执行。什么叫包含呢？以PHP为例，我们常常把... 阅读详情

概述

程序开发人员一般会把重复使用的函数写到单个文件中，需要使用某个函数时直接调用此文件，而无需再次编写，这种文件调用的过程一般被称为文件包含。程序开发人员一般希望代码更灵活，所以将被包含的文件设置为变量，用来进行动态调用，但正是由于这种灵活性，从而导致客户端可以调用一个恶意文件，造成文件包含漏洞。在通过PHP的函数引入文件时，由于传入的文件名没有经过合理的校验，从而操作了预想之外的文件，导致意外的文件泄露甚至恶意的代码注入。

分类

本地文件包含

只能包含本地服务器上存在的文件。用户对输入可控且无过滤可以利用相对路径或绝对路径读取系统敏感文件

远程文件包含

包含远程服务器上的文件。需要php.ini开启了allow_url_fopen和allow_url_include的配置。包含的文件是第三方服务器（比如：攻击者自己搭建的一个Web服务器）的文件。 allow_url_fopen=On (默认为On) 规定是否允许从远程服务器或者网站检索数据 allow_url_include=On (php5.2之后默认为Off) 规定是否允许include/require远程文件

远程与本地包含的区别

本地文件包含就是通过浏览器包含web服务器上的文件，这种漏洞是因为浏览器包含文件时没有进行严格的过滤，允许遍历目录的字符注入浏览器并执行。远程文件包含就是允许攻击者包含一个远程的文件，一般是在远程服务器上预先设置好的脚本并对外开放一个web服务，以确保该脚本能被访问到。此漏洞是因为浏览器对用户的输入没有进行检查，导致不同程度的信息泄露、拒绝服务攻击，甚至在目标服务器上执行代码。本地文件包含与远程文件有着相同的原理，但前者只能包含服务器上存在的文件，而后者可以包含远程服务器上的文件。

PHP中文件包含函数有以下四种

require() include() require_once() include_once() nclude和require区别主要是，include在包含的过程中如果出现错误，会抛出一个警告，程序继续正常运行；而require函数出现错误的时候，会直接报错并退出程序的执行。而include_once()，require_once()这两个函数，与前两个的不同之处在于这两个函数只包含一次。适用于在脚本执行期间同一个文件有可能被包括超过一次的情况下，想确保它只被包括一次以避免函数重定义，变量重新赋值等问题。

URL中如果出现了如下内容就可能存在文件包含漏洞 ?page= ?file= ?home=

常见的敏感信息路径

windows系统

c:\boot.ini // 查看系统版本 c:\windows\system32\inetsrc\MetaBase.xml //IIS配置文件 c:\windows\repair\sam //存储windows系统初次安装的密码 c:\programFiles\mysql\my.ini //MYSQL root密码 c:\windows\php.ini // php 配置信息

Linux/Unix系统

/etc/passwd // 账户信息 /etc/shadow // 账户密码文件 /usr/local/app/apache2/conf/httpd.conf // Apache2默认配置文件 /usr/local/app/apache2/conf/extra/httpd-vhost.conf // 虚拟网站配置 /usr/local/app/php5/lib/php.ini // PHP相关配置 /etc/httpd/conf/httpd.conf // Apache配置文件 /etc/my.conf // mysql 配置文件

如何发现文件包含漏洞

1、观察URL链接是否包括以下类似的关键字：page/include/path/file/link/url等，如果有，则可能存在文件包含漏洞； 2、可以观察在URL中，出现的赋值参数等号后跟的信息，是否为一个文件，如果是，则可能存在文件包含漏洞； 3、在关键字处或明显被文件赋值的参数处，尝试进行赋值，如：http://www.baidu.com；或系统常见文件，如：/etc/passwd（linux） 4、配合文件上传漏洞进行验证

DVWA演示

1. Low

不同难度下的界面都是相同的，可以注意到有file1.php，file2.php，file3.php三个文件。

任意点击其中一个文件如file1.php，地址栏的page=include.php就会相应变为page=file1.php，即利用GET的方法来获取服务器中的php文件。

源码分析得出：直接通过get去传递page参数进行文件包含，没有任何过滤。

尝试获取服务器上的文件内容，输入 ../../../../../../（多少个../都行，越多越好）/etc/passwd

../ 返回上级目录，当返回到根目录时候再../还是根目录，然后直接进入linux系统的passwd文件

也可以尝试包含php.ini，可以看到，现在的页面是在 vulnerabilities/fi/file1.php，如果想要访问 php.ini需要回退两次，可以输入../../php.ini

成功包含到php配置文件

2. str_replace函数绕过（Medium）

分析： Medium级别的代码增加了str_replace函数，对page参数进行了一定的过滤，将”http:// ”、”https://”、 ” ../”、”..\“”替换为空字符。但str_replace函数并不是很安全，双写就可以绕过了。而且” ../”、”..\”替换为空字符，那么绝对路径来讲，是不受任何影响的。 http://10.0.0.79:8080/vulnerabilities/fi/?page=..././..././..././..././..././..././etc/passwd