搜索

[208] 2018-06-14_本地文件包含漏洞详解

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-16
2018-06-14_本地文件包含漏洞详解 本 地 文 件 包 含 漏 洞 详 解 原 创   发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 8 - 0 6 - 1 4 0 x 0 0 ： 漏 洞 定 义 ： 漏 洞 定 义 在 通 过 服 务 器 脚 本 的 函 数 引 入 文 件 时 ， 由 于 传 入 的 文 件 名 没 有 经 过 合 理 的 校 验 ， 从 而 操 作 了 预 想 之 外 的 文 件 ， 导 致 意 外 的 文 件 泄 露 、 恶 意 代 码 的 注 入 等 。 文 件 包 含 分 为 两 种 ， 一 种 为 本 地 文 件 包 含 ， 一 种 为 远 程 文 件 包 含 ， 此 篇 记 录 本 地 文 件 包 含 。 本 地 文 件 包 含 （ L o c a l   F i l e I n c l u d e ） ， 简 称   L F I 。 0 x 0 1 ： 涉 及 函 数 ： 涉 及 函 数 文 件 包 含 在   p h p   中 ， 涉 及 到 的 危 险 函 数 有 四 个 ， 分 别 是   i n c l u d e ( ) 、 i n c l u d e _ o n c e ( ) 、 r e q u i r e ( ) 、 r e q u i r e _ o n c e ( ) 。 区 别 如 下 ： i n c l u d e ： 包 含 并 运 行 指 定 的 文 件 ， 包 含 文 件 发 生 错 误 时 ， 程 序 警 告 ， 但 会 继 续 执 行 。 i n c l u d e _ o n c e ： 和   i n c l u d e   类 似 ， 不 同 处 在 于   i n c l u d e _ o n c e   会 检 查 这 个 文 件 是 否 已 经 被 导 入 ， 如 果 已 导 入 ， 下 文 便 不 会 再 导 入 ， 直 面   o n c e   理 解 就 是 只 导 入 一 次 。 r e q u i r e ： 包 含 并 运 行 指 定 的 文 件 ， 包 含 文 件 发 生 错 误 时 ， 程 序 直 接 终 止 执 行 。 r e q u i r e _ o n c e ： 和   r e q u i r e   类 似 ， 不 同 处 在 于   r e q u i r e _ o n c e   只 导 入 一 次 。 0 x 0 2 ： 产 生 场 景 ： 产 生 场 景 开 发 过 程 中 ， 多 个 文 件 都 会 用 到 的 代 码 ， 通 常 会 放 到 一 个 单 独 的 文 件 中 ， 用 到 时 再 包 含 进 来 。 当 把 包 含 的 文 件 写 死 在 程 序 中 时 ， 该 漏 洞 是 不 存 在 的 ， 但 很 多 情 况 都 会 动 态 的 去 包 含 所 需 的 文 件 ， 这 时 候 则 会 产 生 文 件 包 含 漏 洞 。 0 x 0 3 ： 简 单 示 例 ： 简 单 示 例 以 下 代 码 是 最 简 单 的 一 个 文 件 包 含 示 例 ， 程 序 没 有 对 要 包 含 的 文 件 进 行 验 证 ， 导 致 可 控 。 因 为 文 件 路 径 可 控 ， 当 输 入 系 统 的 密 码 文 件 所 在 路 径 时 ， 内 容 会 输 出 出 来 ， 如 下 图 ： 这 样 的 代 码 过 于 危 险 ， 所 以 很 少 有 人 这 么 写 ， 但 有 些 防 护 措 施 是 很 差 的 ， 例 如 通 过 替 换 . . / ,   代 码 如 下 ： < ? p h p         $ f i l e   =   $ _ G E T [ ' f i l e ' ] ;         i f ( i s s e t ( $ f i l e ) ) {                 i n c l u d e ( " $ f i l e " ) ;         } e l s e {                 e c h o   " f i l e   f a i l " ;         }
通 过 检 测 . . /   然 后 替 换 为 空 ， 上 一 种 情 况 是 通 过 . . /   定 位 到 根 目 录 的 ， 当 . . /   被 过 滤 后 ， 可 以 直 接 通 过   /   定 位 ， 如 下 图 ： 有 时 的 程 序 也 会 通 过 添 加 后 缀 来 做 防 护 措 施 ， 例 如 如 下 代 码 ： 这 个 可 以 通 过   % 0 0   截 断 来 绕 过 ， 但 要 注 意 ， 是 老 版 本 了 ， p h p 5 . 2 . x   的 测 试 可 以 ， p h p 5 . 3 . x   的 测 试 不 行 ， 而 且   p h p . i n i   中 的 m a g i c _ q u o t e s _ g p c   配 置 项 为   o f f   时 ， 才 可 以 。 m a g i c _ q u o t e s _ g p c   是 用 来 转 义 特 殊 字 符 的 ， 开 启 后   % 0 0   会 被 转 义 ， 这 个 可 以 做 下 了 解 ， 毕 竟 老 版 本 用 的 比 较 少 了 。 测 试 结 果 如 下 图 （ w i n ） ： 新 建 一 个   t x t   文 件 ， 内 容 为   < ?   p h p i n f o ( ) ;   ? > p h p 5 . 2 . 1 7   测 试 结 果 ： 当 把   m a g i c _ q u o t e s _ g p c   设 置 为   o n   时 ， % 0 0   会 被 转 义 ， 结 果 如 下 ： 当 把   p h p   版 本 切 换 为   p h p 5 . 3 . 2 9   时 ， 测 试 不 通 过 ， 结 果 如 下 ： $ f i l e = s t r _ r e p l a c e ( ' . . / ' , ' ' , $ _ G E T [ ' f i l e ' ] ) ; i f ( i s s e t ( $ f i l e ) ) {         i n c l u d e ( " $ f i l e " ) ; } e l s e {         e c h o   " f i l e   f a i l " ; } $ f i l e = s t r _ r e p l a c e ( ' . . / ' , ' ' , $ _ G E T [ ' f i l e ' ] ) ; i f ( i s s e t ( $ f i l e ) ) {         i n c l u d e ( " $ f i l e "   .   " p h p " ) ; } e l s e {         e c h o   " f i l e   f a i l " ; }
顺 便 提 一 下 ， 为 什 么   % 0 0   能 截 断 ， P H P   内 核 是   C   实 现 的 ， 使 用 了   C   中 的 字 符 处 理 函 数 ， 在 连 接 字 符 串 时 ， 0   字 节 也 就 是 x 0 0   会 作 为 结 束 符 ， 所 以 只 要 加 入 一 个   0   字 节 ， 就 可 以 截 断 字 符 串 ， 0   经 过   U R L   编 码 后 为   % 0 0 。 对 于   % 0 0   截 断 可 以 通 过 以 上 几 个 图 的 提 示 来 判 断 出   p h p   的 版 本 或 是 否 开 启 了   m a g i c _ q u o t e s _ g p c   配 置 项 ， 能 迅 速 查 出 原 因 即 可 。 当   % 0 0   不 能 截 断 时 ， 在   w i n   系 统 中 ， 可 以 利 用   p h p   的   z i p ： / /   协 议 ， 例 如 ： 写 一 个   h e l l o . p h p ， 内 容 为   < ? p h p   p h p i n f o ( ) ; ? > ， 然 后 压 缩 成 文 件   t e s t . z i p   并 上 传 ， 随 后 在 系 统 中 输 入   l o c a l h o s t / t e s t . p h p ? f i l e = z i p : / / t e s t . z i p % 2 3 h e l l o   即 可 ， 因 为 程 序 有 后 缀 措 施 ， 这 样 参 数   f i l e   实 际 就 变 成 了   z i p : / / t e s t . z i p # 2 3 h e l l o . p h p ， 意 思 为 读 取   t e s t . z i p   中 的   h e l l o . p h p   文 件 内 容 ， 如 下 图 ： 0 x 0 4 ： 利 用 示 例 ： 利 用 示 例 1 ， 如 果 存 在 本 地 文 件 包 含 漏 洞 时 ， 不 论 包 含   t x t   还 是   j p g ， 程 序 都 会 以   p h p   来 解 析 运 行 ， 也 就 意 味 着 可 以 上 传 一 句 话 木 马 ， 直 接 用 菜 刀 连 接 。 例 如 新 建 一 个   1 . t x t   内 容 为 ： 随 后 将 后 缀 改 为   j p g ， 利 用 文 件 包 含 漏 洞 包 含 此 文 件 ， 结 果 如 下 ： < ? p h p   @ e v a l ( $ _ P O S T [ ' c a i d a o ' ] ) ; ? >
2 ， 可 以 利 用   p h p : / / i n p u t   输 入 流 执 行 任 意 命 令 ， 前 提 是   p h p . i n i   的   a l l o w _ u r l _ i n c l u d e   项 设 置 为   o n ， 不 受 版 本 控 制 ， 例 如 以 下 操 作 图 ： 使 用 火 狐 插 件   h a c k b a r   即 可 。 3 ， 利 用   p h p   的 数 据 协 议   d a t a : / /   可 以 查 看 文 件 源 代 码 ， 前 提 是   p h p . i n i   中 的   a l l o w _ u r l _ f o p e n   和   a l l o w _ u r l _ i n c l u d e   两 个 配 置 为   o n , 例 如 以 下 操 作 图 ：
当 碰 到   W A F   时 ， 可 以 把   < >   这 些 特 殊 符 号 进 行 编 码 再 试 。 0 x 0 5 :   如 何 防 御 1 ， 尽 量 不 使 用 动 态 包 含 文 件 ， 如 果 可 以 静 态 的 去 包 含 最 好 。 2 ， 在 使 用 动 态 包 含 时 ， 添 加 后 缀 措 施 的 情 况 下 ， 请 保 证   p h p   版 本 高 于   5 . 3   或 是 最 新 版 ， 防 止 截 断 攻 击 。 3 ， 对 于 动 态 包 含 的 文 件 可 以 设 置 一 个 白 名 单 ， 如 果 不 属 于 白 名 单 内 的 文 件 名 ， 则 不 包 含 。 4 ， 可 以 使 用   o p e n _ b a s e d i r   限 制 目 录 项 来 指 定 包 含 的 目 录 范 围 ， 防 止 目 录 遍 历 ， p h p . i n i   中 设 置   o p e n _ b a s e d i r = " 指 定 目 录 " 。 5 ， 对 于 中 间 件   a p a c h e   或   n g i n x   等 ， 可 以 使 用 中 间 件 自 身 的 指 定 目 录 范 围 配 置 ， 效 果 更 好 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理