如果你可以找到上面的代码，那么就有一个直接包含的$文件，你可以控制它。
请注意：该文件可以是任何类型，无论它是被删除的文件类型、图片还是任意的内容，都包括在内。
首先，在当前文件夹中创建任意后缀的任意文件，如：file.txt（即使是像file.jpg这样的图片格式，则会产生以下效果）。
将文件的内容设置为：
此时，文件包含漏洞还包含当前服务器中的其他文件，同时支持包含Web应用程序的目录，如下所示：
尝试包括你的硬盘的一些内容，例如：C:\WINDOWS\system.ini。
如果你这样做，就可以在浏览器上看到任何文件的输出内容。
这只有当你有完全控制和文件类型没有进一步指定时才有效。
那么，如果代码片段变成如下这样，你该怎么做？
在这种情况下，你可以尝试按照上面的方法：
这将导致以下的输出：
你可以看到，如果后缀是固定的，就像上图一样，你不会找到前面包含的文件。
搜索的文件名是：./Include.txt.php。
所以这里有另一种方法：％00到达时截断一个字符串。这个技巧也被广泛应用于不同的领域，我不会在这里再详述，如果想详细了解，请点此。
在PHP中使用％00：
1.PHP版本<5.3（不包括5.3）;
2. PHP `magic_quotes_gpc = off`;
3.PHP不会在收到的参数中使用addslashes函数，例如上面代码中的$ _GET [‘file’]，不过在PHP版本5.3或更高版本中，此问题已得到解决。
如果打开gpc或者使用了加法器函数，序列将被正确地转义。
首先，你可以尝试如果gpc打开会发生什么（效果与使用该函数相同）。
如果你启用了gpc标志，你可以直接看到这个过程是如何发生的。
接下来可以看看5.3版本中的情况：
这里也没有明显的效果。
所以你可以看到，只要满足上述三个条件，就可以使用％00。
首先，你要将PHP版本更改为5.2，并在php.ini更改为 magic_quotes_gpc = on tomagic_quotes_gpc = off.后重新启动Apache。
这使你就能够在尝试时使用截断。
这时可以看到，你已经成功地使用了其中的截断。
那么文件只包含了包含的功能吗？当然不是，之所以会这样，是因为你可以控制可以包含的内容。
你可以创建一个文件：shell.txt来进一步利用这个漏洞。
你可以看到，其中也包括了shell。
那么两者有什么区别呢？其实没有什么区别，原理是一样的，但是第一个是用后缀来介绍的，第二个是固定在程序后缀后面的。但是可以使用％00，因为当程序流（program stream ）遇到％00终止符(terminator)时它会直接终止。
远程文件包含
远程文件包含就是允许攻击者包含一个远程的文件,一般是在远程服务器上预先设置好的脚本。 此漏洞是因为浏览器对用户的输入没有进行检查，导致不同程度的信息泄露、拒绝服务攻击 甚至在目标服务器上执行代码。
本地文件包含与远程文件有着相同的原理，但前者只能包含服务器上存在的文件，而后者可以包含远程服务器上的文件。
对于远程文件，你需要考虑以下2点：
1.在php.ini中需要allow_url_include = on和allow_url_fopen= on
2.所需的远程文件后缀不能与目标服务器的语言相同，如目标服务器解析PHP代码，则远程文件后缀不能为.php。
让我解释一下第二点，如果你的远程文件具有.php后缀，并且你的远程文件内容如下所示：
那么在远程服务器执行phpinfo()之后，你就可以获得目标服务器的内容。由于它不会运行代码，所以包含的信息不是目标服务器，而是远程服务器。
如下所示：
这是我的PHP5.6版本的远程设备信息，目标设备是5.2版本。
接下来是包含文件：
你可以看到，包含文件后，你的远程设备发生了变化，这是为什么呢?
由于目标服务器不包含此代码：
此时，远程服务器会执行此代码的源代码，如下所示：
所以为了使这个攻击开始运行，你需要做一些修改：
1.修改配置
2.修改文件后缀
此时，你可以再来尝试一下包含的攻击向量：
那么你可以看到所需的信息在此包含之后返回，并且你的目标设备信息不再改变。
接下来，你要再次为远程文件包含做一个shell示例。
远程文件包含使用的前提是，符合本地文件包含的前提并符合远程文件包含其可用性的前提。
文件包含许多伪协议
文件中可以包含不同的伪协议，我将在下面演示其中的一些：
1.data:text/plain or data: text/plain; base64 2.php://input 3.php://filter 4.file:// 5.zip://
其他协议可以在官方文档中找到。
data:text/plain
输出直接显示在相应的URL中，显示参数：data：text / plain。
然后你需要执行如下所示的php代码：
data：text/plain; BASE64
有另一种方法来使用data: text/plain; base64，不过此时你需要使用base64编码来执行PHP代码，base64php代码如下所示：
## php://input
php://input访问请求的原始数据的只读流（read-only stream），会将post请求中的数据作为php代码执行。
你可以看到程序自动添加了一个.php后缀，因此使用包括php://input，将自动添加.php，所以它肯定不能正常工作。
此时，你可以参考以上的％00技巧来截断文件路径。
你可以看到终止符(terminator)是非常强大的。
php://filter
php://filter可以读取php文件的代码base64编码的输出并将其返回给你。
例如，你想读取一个PHP文件，但不希望它是正常的PHP。你可以通过php：//filter/read=convert.base64-encode/resource=
../ 读取文件代码的内容。
解码base64后，你可以像正常情况一样获取内容：
file://
file://用于访问本地文件系统，不受allow_url_fopen orallow_url_include的影响，你可以使用file:// absolute / path / to / file来获取。
zip://
zip://可以访问zip文件中的文件，但它需要一个绝对路径。你可以使用zip://[archive absolute path] # [compressed file name]在本地创建一个文件并将其压缩到一个zip压缩文件中。
此时，你就可以填入绝对路径和文件的名称了。那么，你可能会有两个疑问？
为什么你不能成功显示包括zip://的错误？
这其中就包含zip://C:/phpStudy/WWW/include/phpinfo.zip.php，这是因为你不想包含这个文件，而是想把这个文件包含在zip里。
为什么是＃以后的值？
因为＃会忽略它后面的参数，所以你需要在表单中使用％23。还有一点就是，包含的文件以.php结尾，但你压缩了php后缀的文件。
所以如下所示，你不需要这个后缀。
原创文章，作者：SONIC SEO，如若转载，请注明出处：https://www.seo388.com/filebug/
微信扫一扫 
支付宝扫一扫 
