1. 项目概述为什么文件包含漏洞是Web安全的“隐形杀手”在Web渗透测试和CTFCapture The Flag竞赛中PHP文件包含漏洞File Inclusion Vulnerability是一个经久不衰的核心考点。它不像SQL注入那样直接窃取数据也不像XSS那样直观地影响用户但它更像一把能打开服务器“后门”的万能钥匙一旦利用成功攻击者几乎可以接管整个应用。我处理过不少真实世界的应急响应案例很多看似固若金汤的系统最终被攻破的起点往往就是一个不起眼的文件包含点。今天我们就以“攻防世界”CTF平台上的经典题目fileinclude为蓝本进行一次深度的、从原理到实战的拆解。这不仅仅是为了解一道题更是为了理解这类漏洞的底层逻辑、现代PHP环境下的利用技巧以及如何从根本上进行防御。你会发现随着PHP版本的迭代比如从热词中看到的“php version must be greater than 8.0, current version: 7.4.33”一些老的利用手法失效了但新的绕过方式也随之诞生。我们将从最基本的本地文件包含LFI讲起一路深入到远程文件包含RFI和利用PHP各种伪协议如php://filter、data://进行高级利用最终实现代码执行RCE的目标。无论你是刚接触Web安全的新手还是想系统梳理文件包含漏洞原理的开发者这篇文章都将提供一条清晰的路径。我们会绕过那些枯燥的理论堆砌直接切入核心用实操和代码说话让你不仅能“做对题”更能“懂原理”、“会防御”。2. 漏洞原理深度剖析当“包含”变得危险要理解文件包含漏洞首先得明白PHP中“包含”机制的设计初衷。include、require、include_once、require_once这些语句本意是为了提高代码的复用性和可维护性。比如将数据库连接配置、页头页尾、通用函数库等写入独立的文件然后在多个脚本中通过包含语句引入。这本身是一个优秀的编程实践。2.1 漏洞产生的核心用户输入控制文件路径漏洞产生的根源在于程序将未经过滤或过滤不严的用户输入直接拼接到了包含文件的路径中。看一个最简单的漏洞代码示例?php $page $_GET[page]; // 直接接收用户输入 include($page . .php); // 拼接后包含 ?这段代码的本意可能是让用户通过?pagehome来访问home.php页面。但是攻击者完全可以不按常理出牌。关键点在于include等函数并不关心你给它的路径是否以.php结尾。它的核心工作是找到该路径对应的文件内容并将其中的PHP代码解析执行或者将非PHP文件的内容读取出来。当用户输入可以控制这个路径的全部或一部分时危险就产生了。2.2 本地文件包含 vs. 远程文件包含根据包含的目标文件位置漏洞主要分为两类本地文件包含包含的是服务器本地文件系统上的文件。利用价值读取敏感配置文件如/etc/passwd、/proc/self/environ、Web应用源码如config.php、日志文件等。在特定条件下结合文件上传等功能可以上传一个包含恶意代码的图片文件然后通过LFI包含它从而执行代码。远程文件包含包含的是远程服务器攻击者控制上的文件。前提条件PHP配置中allow_url_include选项必须为On默认是Off。由于安全考虑现代PHP版本5.2默认关闭此选项因此RFI在实际中较LFI少见但在CTF或一些老旧系统中仍可能遇到。利用方式攻击者可以在自己的服务器上放置一个包含PHP代码的文本文件然后让目标应用通过HTTP/FTP等协议去包含这个远程URL从而执行任意代码。注意在PHP 5.2及以上版本allow_url_include默认关闭这使得纯RFI利用门槛变高。但攻击者往往会通过其他方式如利用PHP伪协议变相实现“远程”包含的效果。2.3 PHP伪协议文件包含的“瑞士军刀”这是文件包含漏洞利用中最精彩、最核心的部分。PHP提供了一系列封装协议允许以不同的方式访问本地或远程资源。在文件包含的语境下它们成了绕过限制、读取源码、执行代码的神器。热词中提到的php://filter就是其中最常用的一种。下面是一个简单的对比表格列出了最关键的几个协议及其在漏洞利用中的作用协议用途关键参数在文件包含中的典型利用场景php://filter对本地文件进行过滤处理。read,write,resource读取PHP文件源码。通过convert.base64-encode等过滤器将PHP文件以Base64编码形式读出避免被直接执行。php://input访问请求的原始数据POST Body。无执行POST请求体中的PHP代码。需要allow_url_includeOn。data://将数据内联作为文件流。text/plain;base64,直接执行内联的Base64编码的PHP代码。需要allow_url_includeOn。file://访问本地文件系统默认协议。文件路径明确指定使用本地文件协议常用于绝对路径包含。http:///ftp://访问远程资源。URL经典的远程文件包含RFI需要allow_url_includeOn。理解这些协议是攻克fileinclude这类题目的关键。题目往往会设置一些过滤比如检查参数中是否包含http、flag等关键字逼迫你灵活组合使用这些协议来绕过。3. 靶场实战攻防世界fileinclude题目深度解构现在让我们把理论应用到实战中。假设我们面对的是攻防世界fileinclude题目的典型环境。题目通常会提供一个简单的PHP页面其中存在一个文件包含点但附加了一些过滤规则。我们的目标是绕过过滤读取到服务器上的flag文件。3.1 场景分析与信息收集首先我们需要像侦探一样观察目标。访问题目页面可能会看到类似以下的代码逻辑此为模拟真实题目可能更复杂?php error_reporting(0); if (isset($_GET[file])) { $file $_GET[file]; // 第一层过滤不允许包含flag关键字 if (stristr($file, flag) ! false) { die(Hacker!); } // 第二层过滤必须包含 .php 后缀 // 或者有其他的检查... include($file); } else { highlight_file(__FILE__); } ?第一步基础测试我们尝试最基本的包含?file../../../../etc/passwd测试目录遍历看是否能读取系统文件。?fileindex.php测试包含自身或其他PHP文件观察是直接执行还是显示源码。如果直接包含.php文件服务器会执行它我们看不到源码。这时php://filter协议就派上用场了。第二步使用php://filter读取源码构造Payload?filephp://filter/readconvert.base64-encode/resourceindex.php这个Payload的意思是使用php://filter协议对资源index.php应用convert.base64-encode过滤器进行读取。服务器会返回Base64编码后的index.php文件内容。我们将其解码就能看到题目源码的全貌从而理解其完整的过滤逻辑。3.2 绕过过滤技巧汇编从网络资料和实战来看fileinclude题目的过滤方式多样以下是一些常见的绕过技巧关键字绕过双写绕过如果过滤是简单的str_replace(flag, , $input)可以使用?fileflflagag.php过滤后中间的flag被移除两边的字符又拼接成了flag。大小写绕过stristr是大小写不敏感的但有些自定义过滤可能只检查小写。可以尝试?fileFLAG或?fileFlAg。编码绕过使用URL编码、双重URL编码等。例如flag的URL编码是%66%6c%61%67。如果服务器在过滤后没有解码可能绕过检查。利用协议嵌套php://filter本身可以多次嵌套。例如先进行一次Base64编码再解码可能扰乱简单的字符串匹配。如php://filter/readconvert.base64-decode/convert.base64-encode/resourceflag.php此为例需根据实际过滤器调整。路径遍历与截断在特定PHP版本下目录遍历使用../来跳转目录寻找敏感文件或上传点。如?file../../../tmp/uploaded_shell.jpg。空字节截断在PHP版本 5.3.4时如果在路径后添加空字节%00PHP会认为字符串在此结束。例如代码要求包含$file . .php传入?file../../etc/passwd%00拼接后变成../../etc/passwd%00.php由于%00截断实际包含的是../../etc/passwd。注意此方法在PHP 5.3.4及以上版本已修复。利用PHP伪协议链 这是更高级的技巧。例如题目可能检查文件内容是否以?php开头。我们可以利用php://filter的string.rot13、convert.iconv.*等过滤器对我们要执行的Payload进行变换使其绕过内容检查然后在包含时被PHP正常解析。示例假设我们要执行?php system(ls);?但被检查。我们可以先将其进行Base64编码然后通过php://filter/readconvert.base64-decode/resourcedata://text/plain,PD9waHAgc3lzdGVtKCdscycpOz8的方式让过滤器先解码再执行。这里结合了data://协议内联代码。3.3 完整利用链演示从LFI到RCE假设我们通过php://filter读到了完整的index.php源码发现其过滤逻辑是不允许参数中出现flag和php://input并且会对包含的文件内容检查是否有?php。我们的目标是读取/flag文件。直接包含被禁止那么思路可以是利用日志文件注入如果我们可以控制User-Agent、Referer等HTTP头并且服务器记录了访问日志如/var/log/apache2/access.log我们可以将PHP代码写入User-Agent然后通过LFI包含这个日志文件来执行代码。PayloadUser-Agent: ?php system($_GET[‘c’]);?包含日志?file../../../var/log/apache2/access.logccat /flag难点需要知道日志文件的确切路径且需要有读写权限。利用/proc/self/environ在Linux中/proc/self/environ文件包含了当前进程的环境变量其中就有HTTP_USER_AGENT等。如果PHP以CGI模式运行我们可以通过修改User-Agent来污染这个环境变量文件然后包含它。方法类似日志包含但目标文件是/proc/self/environ。利用php://input直接执行如果allow_url_includeOn且未被过滤GET: ?filephp://inputPOST Body: ?php system(‘cat /flag’);?利用data://协议直接执行如果allow_url_includeOn?filedata://text/plain,?php system(‘cat /flag’);?或者Base64编码版?filedata://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgL2ZsYWcnKTs/Pg对于fileinclude题目最优雅的解法往往是通过php://filter直接读取flag.php的源码因为flag可能在变量定义中而非直接输出。即使过滤了flag关键字我们也可以尝试包含./flag.php相对路径或者利用目录遍历找到它。4. 防御之道开发者如何关闭这扇危险之门分析了这么多攻击手法作为开发者我们更应该知道如何防御。防御文件包含漏洞的核心原则是绝对不要让用户可控的变量直接进入文件包含函数的路径参数。4.1 白名单机制最有效的防御最安全的方法是采用白名单。只允许包含预先定义好的、安全的文件。?php $allowed_pages [home.php, about.php, contact.php]; $page $_GET[page]; if (in_array($page, $allowed_pages)) { include(./templates/ . $page); } else { include(./templates/error.php); } ?4.2 严格过滤与路径固定如果业务上必须允许一定动态性则需要剥离目录路径使用basename()函数获取文件名防止目录遍历。$file basename($_GET[file]); // 确保只得到文件名如 ‘test.php’ include(./includes/ . $file);注意basename()在遇到空字节时可能有问题且仍需配合后缀检查。强制添加固定后缀在拼接路径后再添加一个固定的、可控的后缀。$file $_GET[module]; include(/path/to/modules/ . $file . .inc.php); // 用户无法控制 .inc.php正则表达式严格匹配确保输入符合预期的格式如只允许字母数字。if (!preg_match(/^[a-z0-9_]$/i, $file)) { die(Invalid file name.); }4.3 安全配置与框架使用PHP配置确保allow_url_include和allow_url_fopen在php.ini中设置为Off生产环境默认如此。设置open_basedir限制PHP脚本可以访问的文件系统目录将其限制在Web目录内即使存在包含漏洞攻击者也无法跳出这个“监狱”。使用现代框架如Laravel、Symfony等它们有成熟的视图加载机制通常不会直接暴露include/require给用户输入。代码审计与自动化扫描将include、require、include_once、require_once作为关键字在代码审计中重点检查其参数是否用户可控。5. 进阶思考与新型绕过手法随着PHP版本更新和安全意识提升传统的漏洞利用方式可能在更新环境中失效例如热词中提示的PHP 8.0与7.4的差异。这就需要我们持续关注新的攻击面。PHP版本差异如开头热词所示track_errors指令在PHP新版本中已移除。一些依赖$php_errormsg变量的攻击或错误利用手法可能在新环境失效。攻击者和防御者都需要关注版本变更日志。过滤器链的巧妙组合php://filter支持多个过滤器串联可以构造非常复杂的编码链用于绕过WAFWeb应用防火墙对特定关键词的检测。例如使用convert.iconv.UTF-8.UTF-16BE等字符集转换过滤器可以完全改变Payload的字节表现形态。利用临时文件与竞争条件在某些场景下如果应用先上传文件到临时目录然后根据用户输入包含它可能会存在一个极短的时间窗口。攻击者通过暴力竞争有可能在文件被删除前包含到它。这需要高并发请求属于一种高级利用技巧。Session文件包含PHP的Session数据通常以文件形式存储在服务器上如/tmp/sess_[sessionid]。如果攻击者能向Session文件注入PHP代码例如通过用户可控的Session变量再通过LFI包含这个Session文件就能实现RCE。这需要攻击者能预测或获取Session ID。文件包含漏洞的魅力在于其“四两拨千斤”的特性。一个看似微小的参数控制点经过攻击者层层递进的利用最终可能演变成服务器沦陷的起点。通过这次对fileinclude靶场的深度解析我们不仅掌握了一套具体的解题技巧更重要的是建立了一套分析此类漏洞的思维模型信息收集 - 源码审计或逻辑推断- 过滤规则分析 - 协议与技巧绕过 - 达成利用目标。对于开发者而言理解攻击者的思维是构建有效防御的第一步。永远不要信任任何来自客户端的输入使用白名单保持环境配置安全是抵御这类漏洞的不二法门。安全是一个持续的过程而非一劳永逸的状态。