搜索

[20733] 2017-05-02_PHP文件包含漏洞攻防实战

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2017-05-02_PHP文件包含漏洞攻防实战 P H P 文 件 包 含 漏 洞 攻 防 实 战 L e m o n S e c   2 0 1 7 - 0 5 - 0 2 摘 要 P H P 是 一 种 非 常 流 行 的 W e b 开 发 语 言 ， 互 联 网 上 的 许 多 W e b 应 用 都 是 利 用 P H P 开 发 的 。 而 在 利 用 P H P 开 发 的 W e b 应 用 中 ， P H P 文 件 包 含 漏 洞 是 一 种 常 见 的 漏 洞 。 利 用 P H P 文 件 包 含 漏 洞 入 侵 网 站 也 是 主 流 的 一 种 攻 击 手 段 。 本 文 对 P H P 文 件 包 含 漏 洞 的 形 成 、 利 用 技 巧 及 防 范 进 行 了 详 细 的 分 析 ， 并 通 过 一 个 真 实 案 例 演 示 了 如 何 利 用 P H P 文 件 包 含 漏 洞 对 目 标 网 站 进 行 渗 透 测 试 ， 最 终 成 功 获 取 到 网 站 的 W e b S h e l l 。 1 .   P H P 文 件 包 含 漏 洞 介 绍 首 先 ， 我 们 来 介 绍 下 何 为 文 件 包 含 漏 洞 。 严 格 来 说 ， 文 件 包 含 漏 洞 是 “ 代 码 注 入 ” 的 一 种 。 其 原 理 就 是 注 入 一 段 用 户 能 控 制 的 脚 本 或 代 码 ， 并 让 服 务 端 执 行 。 “ 代 码 注 入 ” 的 典 型 代 表 就 是 文 件 包 含 。 文 件 包 含 漏 洞 可 能 出 现 在 J S P 、 P H P 、 A S P 等 语 言 中 ， 原 理 都 是 一 样 的 ， 本 文 只 介 绍 P H P 文 件 包 含 漏 洞 。 要 想 成 功 利 用 文 件 包 含 漏 洞 进 行 攻 击 ， 需 要 满 足 以 下 两 个 条 件 ： 1 . 1   W e b 应 用 采 用 i n c l u d e ( ) 等 文 件 包 含 函 数 通 过 动 态 变 量 的 方 式 引 入 需 要 包 含 的 文 件 ; 1 . 2   用 户 能 够 控 制 该 动 态 变 量 。 在 P H P 中 ， 有 四 个 用 于 包 含 文 件 的 函 数 ， 当 使 用 这 些 函 数 包 含 文 件 时 ， 文 件 中 包 含 的 P H P 代 码 会 被 执 行 。 下 面 对 它 们 之 间 的 区 别 进 行 解 释 ： i n c l u d e ( ) : 当 使 用 该 函 数 包 含 文 件 时 ， 只 有 代 码 执 行 到 i n c l u d e ( ) 函 数 时 才 将 文 件 包 含 进 来 ， 发 生 错 误 时 只 给 出 一 个 警 告 ， 继 续 向 下 执 行 。 i n c l u d e _ o n c e ( ) : 功 能 和 i n c l u d e ( ) 相 同 ， 区 别 在 于 当 重 复 调 用 同 一 文 件 时 ， 程 序 只 调 用 一 次 。 r e q u i r e ( ) : 1 . r e q u i r e ( ) 与 i n c l u d e ( ) 的 区 别 在 于 r e q u i r e ( ) 执 行 如 果 发 生 错 误 ， 函 数 会 输 出 错 误 信 息 ， 并 终 止 脚 本 的 运 行 。 2 . 使 用 r e q u i r e ( ) 函 数 包 含 文 件 时 ， 只 要 程 序 一 执 行 ， 立 即 调 用 文 件 ， 而 i n c l u d e ( ) 只 有 程 序 执 行 到 该 函 数 时 才 调 用 。 r e q u i r e _ o n c e ( ) : 它 的 功 能 与 r e q u i r e ( ) 相 同 ， 区 别 在 于 当 重 复 调 用 同 一 文 件 时 ， 程 序 只 调 用 一 次 。 现 在 来 看 一 段 简 单 的 文 件 包 含 代 码 ， 如 下 图 所 示 ： 图 1 通 过 上 面 的 代 码 可 以 看 到 ， 在 得 到 变 量 $ f i l e n a m e 的 值 后 没 有 经 过 任 何 处 理 ， 直 接 带 入 i n c l u d e ( ) 函 数 中 。 此 处 就 存 在 一 个 文 件 包 含 漏 洞 ， 利 用 该 漏 洞 我 们 可 以 查 看 系 统 中 的 任 意 文 件 。 下 面 我 们 来 实 际 测 试 一 下 ， 首 先 将 该 P H P 页 面 上 传 到 W e b 服 务 器 ， 先 让 其 包 含 一 个 正 常 的 t x t 文 件 ， 运 行 结 果 如 下 图 所 示 ：
图 2 接 着 我 们 在 该 t x t 文 本 中 插 入 p h p 代 码 ， 看 结 果 如 何 ？ 这 里 给 其 插 入 如 下 代 码 : 图 3 再 次 访 问 ， 结 果 如 下 图 所 示 ： 图 4 通 过 上 图 我 们 可 以 看 到 文 本 中 的 P H P 代 码 被 成 功 执 行 了 。 利 用 该 漏 洞 我 们 可 以 查 看 系 统 中 的 任 意 文 件 ， 比 如 经 常 用 到 的 “ / e t c / p a s s w d ” 文 件 。 图 5
P H P 文 件 包 含 漏 洞 分 为 本 地 文 件 包 含 漏 洞 （ L F I ） 和 远 程 文 件 包 含 漏 洞 （ R F I ） ， 能 够 打 开 并 包 含 本 地 文 件 的 漏 洞 ， 被 称 为 本 地 文 件 包 含 漏 洞 。 利 用 本 地 文 件 包 含 漏 洞 可 以 查 看 系 统 任 意 文 件 内 容 ， 如 果 具 备 一 些 条 件 ， 也 可 以 执 行 命 令 。 在 下 面 的 漏 洞 利 用 技 巧 部 分 对 这 个 有 详 细 的 介 绍 。 如 果 p h p . i n i 的 配 置 选 项 a l l o w _ u r l _ f o p e n 和 a l l o w _ u r l _ i n c l u d e 为 O N 的 话 ， 则 文 件 包 含 函 数 是 可 以 加 载 远 程 文 件 的 ， 这 种 漏 洞 被 称 为 远 程 文 件 包 含 漏 洞 。 利 用 远 程 文 件 包 含 漏 洞 可 以 直 接 执 行 任 意 命 令 。 在 实 际 渗 透 攻 击 过 程 中 ， 攻 击 者 可 以 在 自 己 的 W e b 服 务 器 上 放 一 个 可 执 行 的 恶 意 文 件 ， 通 过 目 标 网 站 存 在 的 远 程 文 件 包 含 漏 洞 来 加 载 文 件 ， 从 而 实 现 执 行 任 意 命 令 的 目 的 。 2 .   文 件 包 含 漏 洞 利 用 技 巧 远 程 文 件 包 含 漏 洞 之 所 以 能 够 执 行 命 令 ， 就 是 因 为 攻 击 者 可 以 自 定 义 被 包 含 的 文 件 内 容 。 因 此 ， 本 地 文 件 包 含 漏 洞 要 想 执 行 命 令 ， 也 需 要 找 一 个 攻 击 者 能 够 控 制 内 容 的 本 地 文 件 。 目 前 主 要 有 几 下 几 种 常 见 的 技 巧 ： 2 . 1   包 含 用 户 上 传 的 文 件 。 这 个 很 好 理 解 ， 也 是 最 简 单 的 一 种 办 法 。 如 果 用 户 上 传 的 文 件 内 容 中 包 含 P H P 代 码 ， 那 么 这 些 代 码 被 文 件 包 含 函 数 加 载 后 将 会 被 执 行 。 但 能 否 攻 击 成 功 ， 取 决 于 上 传 功 能 的 设 计 ， 比 如 需 要 知 道 上 传 文 件 存 放 的 物 理 路 径 ， 还 需 要 上 传 的 文 件 有 执 行 权 限 。 2 . 2   包 含 d a t a : / / 或 p h p : / / i n p u t 等 伪 协 议 。 这 需 要 目 标 服 务 器 支 持 ， 同 时 要 求 a l l o w _ u r l _ f o p e n 为 设 置 为 O N 。 在 P H P 5 . 2 . 0 之 后 的 版 本 中 支 持 d a t a :   伪 协 议 ， 可 以 很 方 便 的 执 行 代 码 。 2 . 3   包 含 S e s s i o n 文 件 。 这 部 分 需 要 攻 击 者 能 够 控 制 部 分 S e s s i o n 文 件 的 内 容 。 P H P 默 认 生 成 的 S e s s i o n 文 件 一 般 存 放 在 / t m p 目 录 下 。 2 . 4   包 含 日 志 文 件 。 比 如 W e b 服 务 器 的 访 问 日 志 文 件 ， 这 是 一 种 通 用 的 技 巧 。 因 为 几 乎 所 有 网 站 都 会 将 用 户 的 访 问 记 录 到 访 问 日 志 中 。 因 此 ， 攻 击 者 可 以 向 W e b 日 志 中 插 入 P H P 代 码 ， 通 过 文 件 包 含 漏 洞 来 执 行 包 含 在 W e b 日 志 中 的 P H P 代 码 。 下 面 的 安 例 中 就 是 利 用 该 技 巧 成 功 获 取 到 目 标 网 站 的 W e b S h e l l 的 。 但 需 要 注 意 的 是 ， 如 果 网 站 访 问 量 大 的 话 ， 日 志 文 件 可 能 会 非 常 大 ， 这 时 如 果 包 含 一 个 这 么 大 的 文 件 时 ， P H P 进 程 可 能 会 卡 死 。 一 般 网 站 通 常 会 每 天 生 成 一 个 新 的 日 志 文 件 ， 因 此 在 凌 晨 时 进 行 攻 击 相 对 来 说 容 易 成 功 。 2 . 5   包 含 / p r o c / s e l f / e n v i r o n 文 件 。 这 个 也 是 一 种 通 用 的 技 巧 。 因 为 它 根 本 不 需 要 猜 测 被 包 含 文 件 的 路 径 ， 同 时 用 户 也 能 控 制 它 的 内 容 。 常 见 的 做 法 是 向 U s e r - A g e n t 中 注 入 P H P 代 码 来 完 成 攻 击 。 3 .   利 用 P H P 文 件 包 含 漏 洞 渗 透 某 网 站 案 例 上 面 我 们 详 细 的 介 绍 了 P H P 文 件 包 含 漏 洞 的 形 成 和 测 试 ， 下 面 我 们 通 过 一 个 真 实 案 例 来 讲 解 下 如 何 利 用 P H P 文 件 包 含 漏 洞 对 目 标 网 站 进 行 渗 透 攻 击 。 目 标 网 站 ： 中 国 电 信 某 业 务 系 统 目 的 ： 获 取 到 目 标 网 站 的 W e b S h e l l 详 细 渗 透 过 程 ： 3 . 1   发 现 漏 洞 我 们 先 来 打 开 目 标 网 站 的 一 个 U R L 看 下 ， 如 下 所 示 ：
U R L ： h t t p : / / X X X . v n e t . m o b i / i n d e x . p h p ? p a t h = j c b / z t / g f s d t j q g / i n d e x . h t m l 注 意 p a t h = 后 面 的 内 容 ， 通 过 这 个 U R L 可 以 发 现 i n d e x . p h p 调 用 文 件 包 含 函 数 来 包 含 网 站 目 录 下 的 文 件 ， 并 展 示 给 用 户 。 但 这 时 我 们 并 不 能 确 定 此 U R L 存 在 文 件 包 含 漏 洞 。 下 面 我 们 来 手 工 测 试 下 是 否 存 在 文 件 包 含 漏 洞 。 因 为 该 网 站 存 在 一 个 p h p i n f o . p h p 的 测 试 页 面 ， 我 们 可 以 通 过 该 页 面 得 到 目 标 网 站 的 很 多 有 用 信 息 ， 不 必 进 行 模 糊 测 试 就 可 以 获 取 到 W e b 目 录 的 绝 对 路 径 ， 所 以 这 里 可 以 直 接 构 造 已 知 文 件 的 路 径 ， 让 其 包 含 ， 快 速 确 认 是 否 存 在 文 件 包 含 漏 洞 。 我 们 来 通 过 包 含 一 个 已 知 的 文 件 ” / e t c / p a s s w d ” 文 件 来 确 认 以 上 U R L 是 否 文 件 包 含 漏 洞 。 图 6 O K ， 通 过 上 面 返 回 的 结 果 可 以 确 定 网 站 存 在 文 件 包 含 漏 洞 ， 下 面 我 们 来 演 示 下 如 何 利 用 该 漏 洞 进 行 渗 透 测 试 。 3 . 2   漏 洞 利 用 通 过 上 面 的 测 试 ， 我 们 可 以 确 定 网 站 存 在 文 件 包 含 漏 洞 。 那 么 这 时 问 题 来 了 ， 如 何 利 用 这 个 漏 洞 来 达 到 我 们 的 目 的 呢 ？ 其 中 一 个 思 路 就 是 将 后 门 代 码 插 入 网 站 的 W e b 日 志 文 件 中 ， 利 用 目 标 网 站 存 在 的 文 件 包 含 漏 洞 包 含 此 日 志 文 件 ， 这 时 W e b 日 志 中 的 后 门 代 码 将 会 作 为 P H P 代 码 执 行 ， 这 样 我 们 就 可 以 获 取 到 一 个 W e b S h e l l 进 行 后 续 的 攻 击 。 但 这 时 面 临 一 个 问 题 ， 我 们 需 要 知 道 W e b 日 志 的 存 放 路 径 ， 否 则 无 法 实 现 目 标 。 通 常 W e b 日 志 存 放 路 径 通 过 W e b 服 务 器 的 配 置 文 件 指 定 。 通 过 上 面 获 取 的 信 息 可 以 确 定 目 标 网 站 使 用 的 是 N g i n x 服 务 器 ， 因 此 我 们 可 以 先 通 过 包 含 W e b 服 务 器 配 置 文 件 （ N i g i x . c o n f ） 来 获 取 到 W e b 日 志 存 放 路 径 。 具 体 操 作 如 下 图 所 示 ：
图 7 3 . 3   获 取 到 W e b S h e l l 上 面 我 们 通 过 W e b 服 务 器 配 置 文 件 （ N g i n x . c o n f ） 获 取 到 了 W e b 访 问 日 志 的 存 在 路 径 （ / o p t / n g i n x / l o g s / a c c e s s . l o g ） ， 但 因 为 该 网 站 的 日 志 文 件 很 大 ， 这 时 访 问 W e b S h e l l 程 序 会 卡 死 ， 所 以 我 们 选 择 凌 晨 的 时 候 进 行 再 次 攻 击 。 因 为 一 般 的 网 站 都 是 每 天 生 成 一 个 访 问 日 志 文 件 ， 在 凌 晨 的 时 候 日 志 文 件 较 小 ， 容 易 成 功 。 下 图 展 示 了 如 下 向 W e b 访 问 日 志 中 插 入 后 门 代 码 ： 图 8 最 终 ， 我 们 成 功 获 取 到 了 目 标 网 站 的 W e b S h e l l 。
图 9 4 .   P H P 文 件 包 含 漏 洞 防 范 本 部 分 主 要 从 代 码 层 和 W e b 服 务 器 安 全 配 置 两 个 方 面 来 讲 解 P H P 文 件 包 含 漏 洞 的 防 范 。 首 先 来 从 代 码 层 来 讲 ， 在 开 发 过 程 中 应 该 尽 量 避 免 动 态 的 变 量 ， 尤 其 是 用 户 可 以 控 制 的 变 量 。 一 种 保 险 的 做 法 是 采 用 “ 白 名 单 ” 的 方 式 将 允 许 包 含 的 文 件 列 出 来 ， 只 允 许 包 含 白 名 单 中 的 文 件 ， 这 样 就 可 以 避 免 任 意 文 件 包 含 的 风 险 。 可 参 考 下 面 的 代 码 实 现 ： 图 1 0 还 有 一 种 做 法 是 将 文 件 包 含 漏 洞 利 用 过 程 中 的 一 些 特 殊 字 符 定 义 在 黑 名 单 中 ， 对 传 入 的 参 数 进 行 过 滤 ， 但 这 样 有 时 会 因 为 过 滤 不 全 ， 导 致 被 有 经 验 的 攻 击 者 绕 过 。 在 W e b 服 务 器 安 全 配 置 方 面 可 以 通 过 设 定 p h p . i n i 中 o p e n _ b a s e d i r 的 值 将 允 许 包 含 的 文 件 限 定 在 某 一 特 定 目 录 内 ， 这 样 可 以 有 效 的 避 免 利 用 文 件 包 含 漏 洞 进 行 的 攻 击 。 需 要 注 意 的 是 ， o p e n _ b a s e d i r 的 值 是 目 录 的 前 缀 ， 因 此 假 设 设 置 如 下 值 ： o p e n _ b a s e d i r = / v a r / w w w / t e s t ， 那 么 实 际 上 以 下 目 录 都 是 在 允 许 范 围 内 的 。 / v a r / w w w / t e s t / v a r / w w w / t e s t 1 2 3 / v a r / w w w / t e s t a b c 如 果 要 限 定 一 个 指 定 的 目 录 ， 需 要 在 最 后 加 上 ” / “ ， 这 一 点 需 要 特 别 注 意 。
o p e n _ b a s e d i r = / v a r / w w w / t e s t / 如 果 有 多 个 目 录 ， 在 W i n d o w s 下 目 录 间 用 分 号 隔 开 ， 在 L i n u x 下 面 则 用 冒 号 隔 开 。 5 .   总 结 上 面 我 们 通 过 文 字 和 代 码 对 P H P 文 件 包 含 漏 洞 的 形 成 、 利 用 技 巧 及 防 范 都 做 了 详 细 的 分 析 ， 并 结 合 一 个 真 实 案 例 讲 解 了 如 何 利 用 P H P 文 件 包 含 漏 洞 对 目 标 网 站 进 行 渗 透 测 试 ， 最 终 获 取 到 一 个 W e b S h e l l 权 限 。 通 过 这 些 内 容 ， 相 信 读 者 对 P H P 文 件 包 含 漏 洞 有 了 一 个 深 入 的 认 识 。 其 实 只 要 明 白 了 漏 洞 的 原 理 ， 对 漏 洞 有 一 个 深 入 的 认 识 ， 加 上 安 全 意 识 ， 彻 底 解 决 P H P 文 件 包 含 漏 洞 并 不 是 一 件 困 难 的 事 情 。 查 看 更 多 文 章 ， 关 注 下 方 二 维 码
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理