摘要：本文對pHp文件包含漏洞的形成、利用技巧及防范進行了詳細分析，并通過一個真實案例演示了如何利用pHp文件包含漏洞對目標網(wǎng)站進行滲透測試，最終成功獲取到網(wǎng)站的WebShell。

本文詳細分析了含有漏洞的pHp文件的形成、利用技術(shù)和防范，并通過一個真實案例演示了如何利用含有漏洞的pHp文件對目標網(wǎng)站進行滲透測試，最終成功獲取該網(wǎng)站。

pHp是一種非常流行的Web開發(fā)語言，網(wǎng)上很多Web應(yīng)用都是用pHp開發(fā)的。在使用pHp開發(fā)的Web應(yīng)用中，包含漏洞的pHp文件是一個常見的漏洞，利用pHp文件包含漏洞入侵網(wǎng)站也是一種主流的攻擊方式。

pHp文件包含漏洞介紹

首先介紹一下什么是包含漏洞的文件。嚴格來說，文件包含漏洞是一種“代碼注入”。其原理是注入用戶可以控制的腳本或代碼，讓服務(wù)器執(zhí)行?！按a注入”的典型代表是文件包含。文件包含漏洞可能出現(xiàn)在JSp、pHp、ASp等語言中，原理是一樣的。本文僅介紹pHp文件包含漏洞。

為了成功利用文件包含漏洞進行攻擊，需要滿足以下兩個條件：

1.Web應(yīng)用采用include()等文件包含函數(shù)通過動態(tài)變量的方式引入需要包含的文件
2.用戶能夠控制該動態(tài)變量

在 pHp 中，有四個用于包含文件的函數(shù)。當這些函數(shù)用于包含文件時，將執(zhí)行文件中包含的 pHp 代碼。它們之間的區(qū)別解釋如下：

()：當使用該函數(shù)包含一個文件時，只有在執(zhí)行到()函數(shù)的代碼時才會包含該文件。當發(fā)生錯誤時，只會給出警告，并繼續(xù)執(zhí)行。

()：功能與()相同，不同之處在于重復(fù)調(diào)用同一個文件時，程序只調(diào)用一次。

()：1.()和()的區(qū)別在于，如果()的執(zhí)行發(fā)生錯誤，函數(shù)會輸出錯誤信息并終止腳本。2. 當使用()函數(shù)包含一個文件時，程序一執(zhí)行就會立即調(diào)用該文件，只有在程序執(zhí)行到該函數(shù)時才會調(diào)用()。

()：它的功能和()一樣，不同的是在重復(fù)調(diào)用同一個文件時，程序只調(diào)用一次。

現(xiàn)在看一個包含代碼的簡單文件，如下面的圖 1 所示。

圖1

從上面的代碼可以看出，得到變量$的值后，直接帶入()函數(shù)中，不做任何處理。存在一個包含漏洞的文件，我們可以利用這個漏洞查看系統(tǒng)中的任何文件。

讓我們實際測試一下。首先將pHp頁面上傳到Web服務(wù)器，讓它包含一個普通的txt文件。操作結(jié)果如下圖2所示。

圖2

然后我們把php代碼插入到txt文本中，看看結(jié)果？插入如下圖 3 所示的代碼。

圖 3

再次訪問，結(jié)果如下圖4所示。

圖 4

從上圖可以看出，文中的pHp代碼執(zhí)行成功。

利用該漏洞，我們可以查看系統(tǒng)中的任意文件，例如常用的“/etc/”文件，如圖5所示。

圖 5

pHp文件包含漏洞分為本地文件包含漏洞（LFI）和遠程文件包含漏洞（RFI）?？梢源蜷_和包含本地文件的漏洞稱為本地文件包含漏洞。使用本地文件包含漏洞，可以查看系統(tǒng)中任意文件的內(nèi)容，也可以在有條件的情況下執(zhí)行命令。這在下面的漏洞利用技術(shù)部分中有詳細描述。

如果php.ini 的配置選項為ON，則文件包含功能可以加載遠程文件。這種漏洞稱為遠程文件包含漏洞。使用遠程文件包含漏洞，可以直接執(zhí)行任意命令。在實際滲透攻擊過程中，攻擊者可以在自己的Web服務(wù)器上放置一個可執(zhí)行的惡意文件，通過目標網(wǎng)站中包含漏洞的遠程文件加載該文件php代碼執(zhí)行漏洞，從而達到執(zhí)行任意命令的目的。

文件包含漏洞利用技術(shù)

遠程文件包含漏洞之所以能夠執(zhí)行命令，是因為攻擊者可以自定義包含文件的內(nèi)容。因此，如果本地文件包含漏洞，如果要執(zhí)行命令，還需要找到攻擊者可以控制內(nèi)容的本地文件。

目前常用的技術(shù)有以下幾種：

包含用戶上傳的文件。這很容易理解，也是最簡單的方法。如果用戶上傳的文件內(nèi)容包含pHp代碼，這些代碼會在被文件函數(shù)加載后執(zhí)行。但是，攻擊的成功取決于上傳功能的設(shè)計。例如，您需要知道上傳文件存儲的物理路徑，還需要對上傳文件具有執(zhí)行權(quán)限。

包含偽協(xié)議，例如 data:// 或 php://。這需要目標服務(wù)器支持，并且需要設(shè)置為ON。pHp5.2.0之后的版本，支持data:偽協(xié)議，方便代碼執(zhí)行。

包含文件。這部分要求攻擊者能夠控制某些文件的內(nèi)容。pHp默認生成的文件一般存放在/tmp目錄下。

包含日志文件。例如，Web 服務(wù)器的訪問日志文件是一種常用技術(shù)。因為幾乎所有的網(wǎng)站都會記錄用戶的訪問訪問日志。因此，攻擊者可以通過文件包含漏洞將pHp代碼插入到Web日志中，并執(zhí)行Web日志中包含的pHp代碼。在以下案例中，該技術(shù)用于成功獲取目標網(wǎng)站。但需要注意的是，如果網(wǎng)站訪問量很大，日志文件可能會非常大。這時候如果包含這么大的文件，pHp進程可能會卡住。一般的網(wǎng)站通常每天都會生成一個新的日志文件，所以在凌晨攻擊成功相對容易。

包含 /proc/self/ 文件。這也是一種通用技術(shù)，因為它不需要猜測包含文件的路徑，用戶也可以控制其內(nèi)容。常見的方法是將pHp代碼注入User-來完成攻擊。

使用pHp文件滲透存在漏洞的網(wǎng)站案例

上面我們詳細介紹了pHp文件包含漏洞的形成和測試。下面我們通過一個真實案例來說明如何利用pHp文件包含漏洞來滲透目標網(wǎng)站。

目標網(wǎng)站：中國電信業(yè)務(wù)系統(tǒng)

目的：獲取目標網(wǎng)站的信息

詳細的滲透過程如下：

1. 發(fā)現(xiàn)漏洞

我們先打開一個目標網(wǎng)站的網(wǎng)址看一下，如下圖：

URL：http://XXX.vnet.mobi/index.php?path=jcb/zt/gfsdtjqg/index.html

注意path=后面的內(nèi)容。通過這個URL，可以發(fā)現(xiàn).php調(diào)用了文件函數(shù)，將網(wǎng)站目錄下的文件包含進來，顯示給用戶。但目前我們不確定這個 URL 是否存在文件包含漏洞。讓我們手動測試是否存在文件包含漏洞。因為網(wǎng)站有一個.php的測試頁面，通過這個頁面我們可以得到很多關(guān)于目標網(wǎng)站的有用信息。不用fuzz就可以得到web目錄的絕對路徑，所以這里可以直接構(gòu)造已知文件的路徑，讓它包含php代碼執(zhí)行漏洞，快速確認是否存在文件包含漏洞。

我們通過包含已知文件“/etc/”文件來確認上述 URL 文件是否包含漏洞。

圖 6

從上面返回的結(jié)果可以確定該網(wǎng)站存在包含漏洞的文件。下面我們來演示一下如何利用這個漏洞進行滲透測試。

2. 漏洞利用

通過以上測試，我們可以確定該網(wǎng)站存在文件包含漏洞。那么問題來了，如何利用這個漏洞來達到我們的目的呢？一種思路是將后門代碼插入到網(wǎng)站的web日志文件中，利用目標網(wǎng)站的文件包含漏洞來包含這個日志文件。這時候web日志中的后門代碼會作為pHp代碼執(zhí)行，這樣我們就可以得到一個執(zhí)行后續(xù)攻擊。但此時，我們面臨著一個問題。我們需要知道Web日志的存儲路徑，否則無法達到目的。通常web日志存儲路徑由web服務(wù)器的配置文件指定。以上獲取的信息可用于判斷目標網(wǎng)站是否使用該服務(wù)器。所以，我們可以先通過包含web服務(wù)器配置文件（.conf）來獲取web日志存儲路徑。操作如下圖7所示。

圖 7

3.獲取

上面，我們通過Web服務(wù)器配置文件（.conf）獲取到了Web訪問日志（/opt//logs/.log）的存在路徑，但是由于網(wǎng)站的日志文件很大，訪問程序會卡在這個時候，所以我們選擇在清晨再次進攻。因為一般的網(wǎng)站每天都會生成一個訪問日志文件，所以早上的日志文件很小，很容易成功。下面的圖 8 顯示了如何將后門代碼插入到 Web 訪問日志中，如下所示。

圖 8

最終，我們成功獲取了目標網(wǎng)站，如圖9所示。

圖9

pHp 文件包含漏洞預(yù)防

這部分主要從代碼層和Web服務(wù)器的安全配置兩個方面來講解pHp文件包含漏洞的防范。首先，從代碼層面來說，在開發(fā)過程中要盡量避免動態(tài)變量，尤其是那些用戶可以控制的。一個保險的方法是使用“白名單”的方式將允許被包含的文件列出，只允許白名單中的文件被包含，這樣就可以避免任何文件被包含的風(fēng)險。您可以參考下面圖 10 所示的代碼實現(xiàn)。.

圖10

另一種方法是在黑名單中定義漏洞利用過程中包含一些特殊字符的文件，并對傳入的參數(shù)進行過濾，但有時會因為過濾不完整而被有經(jīng)驗的攻擊者繞過。

在web服務(wù)器安全配置方面，可以通過設(shè)置php.ini中的值來限制特定目錄下允許包含的文件，可以有效避免利用文件包含漏洞的攻擊。需要注意的是，值是目錄的前綴，所以假設(shè)設(shè)置了以下值：=/var/www /test，那么下面的目錄其實都在允許的范圍內(nèi)。

/var/www/test
/var/www/test123
/var/www/testabc

如果要限制指定目錄，需要在末尾加上“/”，需要特別注意。

open_basedir=/var/www/test/

如果有多個目錄，下面的目錄用分號隔開，下面用冒號隔開。

總結(jié)

以上，我們通過文字和代碼詳細分析了含有漏洞的pHp文件的形成、利用技巧和防范，并結(jié)合一個真實案例講解了如何利用含有漏洞的pHp文件對目標網(wǎng)站進行滲透測試，最終獲得許可。通過這些內(nèi)容，相信讀者對pHp文件包含漏洞有了深入的了解。其實，只要了解漏洞的原理，對漏洞有深入的了解，加上安全意識，徹底解決包含漏洞的pHp文件并不難。

新聞名稱：pHp文件包含漏洞的形成、利用技巧及防范進行了
標題鏈接：http://www.rwnh.cn/news13/295413.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站收錄、網(wǎng)站內(nèi)鏈、搜索引擎優(yōu)化、外貿(mào)建站、手機網(wǎng)站建設(shè)、網(wǎng)站制作

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)