File Inclusion(文件包含)
有些 web 应用程序允许用户指定直接文件流的输入，或允许用户将文件上载到服务器。稍后 web 应用程序访问 web 应用程序上下文中用户提供的输入。通过这样种操作，web 应用程序允许恶意文件执行。
如果选择要包含的文件是目标计算机上的本地文件，则称为“本地文件包含（LFI）”。但是文件也可能包含在其他机器上，这样的攻击就是“远程文件包含（RFI）”。
当 RFI 不是一个选项时。在 LFI 中使用另一个漏洞（例如文件上传和目录遍历）通常可以达到相同的效果。注意术语“文件包含”与“任意文件访问”或“文件泄漏”不同。
请在仅使用文件包含的情况下，阅读 “../hackable/flags/fi.php” 中的五句名言。
Low Level
这允许直接输入到许多 PHP 函数中的一个，这些函数将在执行时包含内容。RFI 是否可行取决于 web 的服务配置。
源码审计
源码很简单，用 GET 方法接收文件路径，然后将其包含进来。服务器包含文件时，无论文件是否是 PHP 文件，都会尝试当做 PHP 文件来执行。如果文件内容确实是 PHP 文件，则会正常执行并返回结果，如果不是则会将文件内容回显到网页中，所以文件包含漏洞常常会导致任意文件读取与任意命令执行。
<?php
// The page we wish to display
$file = $_GET['page'];
?> 例如靶场提供了 3 个文件，单击这些文件就会显示其执行内容，同时 url 也会用 GET 方法传递参数。
攻击方式
page 参数指的是文件路径，因此我们先传个不存在的文件名测试一下，看看有没有报错信息。传递 page 参数为 “1.php”，靶场报错并返回了文件所在的路径。
Warning: include(1.php): failed to open stream: No such file or directory in D:\DVWA-master\vulnerabilities\fi\index.php on line 36
Warning: include(): Failed opening '1.php' for inclusion (include_path='.;C:\php\pear;../../external/phpids/0.6/lib/') in D:\DVWA-master\vulnerabilities\fi\index.php on line 36
因此我们直接用相对路径，访问上两级文件夹下的 “fi.php'” 文件，构造出 payload。
?page=..\..\hackable\flags\fi.php
漏洞复现
(1）先点击下面的链接，进行尝试，可以看到有结果直接返回了
（2）这个地方因为我知道他的phpinfo.php文件在他的前两级目录文件中，所以我在这里就直接进行尝试了（本地包含）
（3）尝试一下包含百度页面，发现直接成功了（远程包含）
Medium Level
开发人员已经阅读了 LFI/RFI 的一些问题，并决定过滤输入，然而他所使用的过滤还不够。
源码审计
源码如下，代码增加了 str_replace 函数对 page 参数进行了过滤。将 “http://”、“https://”替换为空阻止远程包含漏洞，将“../”、“..\” 替换为空阻止用相对路径访问文件。
<?php
// The page we wish to display
$file = $_GET['page'];
// Input validation
$file = str_replace(array( "http://", "https://" ), "", $file);
$file = str_replace(array( "../", "..\"" ), "", $file);
?>
攻击方式
虽然代码将相对路径的语法过滤了，但是绝对路径不受影响，可以利用网页的报错信息推导出其他文件的绝对路径。当然也可以使用双写绕过，也就是让 str_replace 函数替换后的 page 参数是文件路径即可。
?page=...\.\...\.\hackable\flags\fi.php
漏洞复现
构造一个新的
hthttp://tp://www.baidu.com
过滤后
http://www.baidu.com
过滤前
…/./
过滤后
../
High Level
开发者已经受够了，他们决定只允许使用某些文件。但是由于存在多个具有相同基名的文件，因此它们使用通配符将它们全部包括在内。
源码审计
源码如下，使用 fnmatch 根据指定的模式来匹配文件名或字符串。该函数将检查 page 参数开头必须是否是 file，若是服务器才会去包含相应的文件。
<?php
// The page we wish to display
$file = $_GET['page'];
// Input validation
if( !fnmatch("file*", $file) && $file != "include.php"){
// This isn't the page we want!
echo "ERROR: File not found!";
exit;
}
?>
攻击方式
虽然是只能包含 file 开头的文件，但是实在太巧合了，我们依然可以利用 file 伪协议读取到文件内容。
?page=file:///D:\DVWA-master\hackable\flags\fi.php 漏洞复现
使用伪协议：file:// （访问本地文件系统）（伪协议文章参考：https://blog.csdn.net/Wu000999/article/details/101925271）
Impossible Level
开发人员只对允许的页面进行硬编码，并提供精确的文件名，这样做消除了所有的攻击途径。
<?php
// The page we wish to display
$file = $_GET['page'];
// Only allow include.php or file{1..3}.php
if($file != "include.php" && $file != "file1.php" && $file != "file2.php" && $file != "file3.php"){
// This isn't the page we want!
echo "ERROR: File not found!";
exit;
}
?>
漏洞复现
Impossible难度的代码使用了白名单机制进行防护，简单粗暴，page参数必须为“include.php”、“file1.php”、“file2.php”、“file3.php”之一，彻底杜绝了文件包含漏洞。
总结与防御
为了更好地使用代码的重用性，可以使用文件包含函数将文件包含进来，直接使用文件中的代码来提高重用性。但是这也产生了文件包含漏洞，产生原因是在通过 PHP 的函数引入文件时，为了灵活包含文件会将被包含文件设置为变量，通过动态变量来引入需要包含的文件。此时用户可以对变量的值可控，而服务器端未对变量值进行合理地校验或者校验被绕过，就会导致文件包含漏洞。常用的文件包含函数有 include()、include_once()、require()、require_once()。
包含漏洞分为本地包含和原创包含 2 类，当包含的文件在服务器本地时，就形成了本地文件包含。文件包含可以包含任意文件，被包含的文件可以不是 PHP 代码，可以是文本或图片等。只要文件被包含就会被服务器脚本语言执行，如果包含的文件内容不符合 php 语法，会直接将文件内容输出。例如下面这段简易的代码：
<?php
$file = $_GET['file'];
include($file);
?>
当包含的文件在远程服务器上时，就形成了远程文件包含。所包含远程服务器的文件后缀不能与目标服务器语言相同，远程文件包含需要在 php.ini 中设置：
allow_url_include = on（是否允许 include/require 远程文件）
allow_url_fopen = on（是否允许打开远程文件）
![[C语言]连子棋游戏](https://i-blog.csdnimg.cn/direct/d828d387a6ab40ad9b2fd0e51afa858f.gif)
