pikachu-文件包含、下载和上传

Administrator

2025-07-15

pikachu

File Inclusion(文件包含漏洞)概述

文件包含，是一个功能。在各种开发语言中都提供了内置的文件包含函数，其可以使开发人员在一个代码文件中直接包含（引入）另外一个代码文件。比如在PHP中，提供了： include(),include_once() require(),require_once() 这些文件包含函数，这些函数在代码设计中被经常使用到。
大多数情况下，文件包含函数中包含的代码文件是固定的，因此也不会出现安全问题。但是，有些时候，文件包含的代码文件被写成了一个变量，且这个变量可以由前端用户传进来，这种情况下，如果没有做足够的安全考虑，则可能会引发文件包含漏洞。攻击着会指定一个“意想不到”的文件让包含函数去执行，从而造成恶意操作。根据不同的配置环境，文件包含漏洞分为如下两种情况： 1.本地文件包含漏洞：仅能够对服务器本地的文件进行包含，由于服务器上的文件并不是攻击者所能够控制的，因此该情况下，攻击着更多的会包含一些固定的系统配置文件，从而读取系统敏感信息。很多时候本地文件包含漏洞会结合一些特殊的文件上传漏洞，从而形成更大的威力。 2.远程文件包含漏洞：能够通过url地址对远程的文件进行包含，这意味着攻击者可以传入任意的代码，这种情况没啥好说的，准备挂彩。
因此，在web应用系统的功能设计上尽量不要让前端用户直接传变量给包含函数，如果非要这么做，也一定要做严格的白名单策略进行过滤。

本地文件包含

burp抓包，提交一个参数使其报错：

通过这个报错，我们知道了该网站的根目录以及使用的函数确实是include()
假设我们该后台的操作系统是win11，其中有很多固定的配置文件,我们可以多敲几个…/…/…/…/跳转到根目录，我们将文件名替换。

payload：../../../../Windows/System32/drivers/etc/hosts

结合这个，我们就可以去查看系统敏感信息了，因为好多敏感信息都是存放于某个文件当中，这里贴一些常见的（用时\记得换成/）
Windows系统

c:\boot.ini // 查看系统版本 
c:\windows\system32\inetsrv\MetaBase.xml // IIS配置文件 
c:\windows\repair\sam // 存储Windows系统初次安装的密码 
c:\ProgramFiles\mysql\my.ini // MySQL配置 
c:\ProgramFiles\mysql\data\mysql\user.MYD // MySQL root密码 
c:\windows\php.ini // php 配置信息

Linux系统

/etc/passwd // 账户信息 
/etc/shadow // 账户密码文件 
/usr/local/app/apache2/conf/httpd.conf // Apache2默认配置文件 
/usr/local/app/apache2/conf/extra/httpd-vhost.conf // 虚拟网站配置 
/usr/local/app/php5/lib/php.ini // PHP相关配置 
/etc/httpd/conf/httpd.conf // Apache配置文件 
/etc/my.conf // mysql 配置文件

远程文件包含漏洞

远程文件包含漏洞形式和本地文件包含漏洞差不多，在远程包含漏洞中，攻击者可以通过访问外部地址来加载远程代码。
不安全的文件下载概述
文件下载功能在很多web系统上都会出现，一般我们当点击下载链接，便会向后台发送一个下载请求，一般这个请求会包含一个需要下载的文件名称，后台在收到请求后会开始执行下载代码，将该文件名对应的文件response给浏览器，从而完成下载。如果后台在收到请求的文件名后,将其直接拼进下载文件的路径中而不对其进行安全判断的话，则可能会引发不安全的文件下载漏洞。此时如果攻击者提交的不是一个程序预期的的文件名，而是一个精心构造的路径(比如…/…/…/etc/passwd),则很有可能会直接将该指定的文件下载下来。从而导致后台敏感信息(密码文件、源代码等)被下载。

所以，在设计文件下载功能时，如果下载的目标文件是由前端传进来的，则一定要对传进来的文件进行安全考虑。切记：所有与前端交互的数据都是不安全的，不能掉以轻心！
我们可以直接修改filename的值去下载其他图片，我们还可以使用目录遍历的方式去修改链接下载敏感文件。
防范措施：
1.对传入的文件名进行严格的过滤和限定
2.对文件下载的目录进行严格的限定
可以使用后台扫描工具—御剑

不安全的文件上传漏洞概述

文件上传功能在web应用系统很常见，比如很多网站注册的时候需要上传头像、上传附件等等。当用户点击上传按钮后，后台会对上传的文件进行判断比如是否是指定的类型、后缀名、大小等等，然后将其按照设计的格式进行重命名后存储在指定的目录。如果说后台对上传的文件没有进行任何的安全判断或者判断条件不够严谨，则攻击着可能会上传一些恶意的文件，比如一句话木马，从而导致后台服务器被webshell。

所以，在设计文件上传功能时，一定要对传进来的文件进行严格的安全考虑。比如：

--验证文件类型、后缀名、大小;  
--验证文件的上传方式;  
--对文件进行一定复杂的重命名;  
--不要暴露文件上传后的路径;  
--等等...

客户端check

将一句话木马改成图片格式，burp抓包中再改回来：
页面检查，将页面前端限制删掉：把onchange删掉：

服务端check：MIME type

MIME（多用途互联网邮件扩展类型），是设定某种扩展名的文件用一种应用程序来打开的方式类型，当该扩展文件被访问的时候，浏览器会自动使用指定应用程序来打开。多用于指定一些客户端自定义的文件名，以及一些媒体文件打开方式。
每个MIME类型由两部分组成，前面是数据的大类别，例如声音audio、图像image等，后面定义具体的种类，常见的MIME类型，比如：

超文本标记语言文本.html text/html 
普通文本.txt text/plain 
RTF文本.rtf application/rtf 
GIF图形.gif image/gif 
JPEG图形.ipeg.jpg image/jpeg

抓包：

改变type类型，重新发送：

getimagesize()

getimagesize()：它是php提供的，通过对目标文件的16进制进行读取，通过该文件的前面几个字符串，来判断文件类型。
getmagesize()返回结果中有文件大小和文件类型。
固定的图片文件，十六进制的头部的前面的几个字符串基本上是一样的，比如说png格式的图片，所有png格式的图片前面的十六进制都是一样的。
制作图片马：cmd命令行下

copy /b 1.png + 2.php 3.png

虽然我们绕过getimagesize()，成功上传图片，但只访问图片里面的php代码是执行不了的，下面我们需要想办法让其执行。我们结合本地文件包含漏洞，上传图片路径，注意相对路径的问题，要在前面加上
如：192.168.0.9/pikachu-master/vul/fileinclude/fi_local.php?filename=…/…/unsafeupload/uploads/2022/01/18/75647561e68debefbd6199457424.jpg&submit=提交查询
————————————————