項(xiàng)目5：文件包含漏洞利用與防護(hù)項(xiàng)目目標(biāo)知識(shí)目標(biāo)：1.了解文件包含、文件包含漏洞定義2.理解文件包含漏洞的分類(lèi)、文件包含函數(shù)3.掌握文件包含漏洞利用，防范措施能力目標(biāo)：1.能運(yùn)用文件包含漏洞獲取敏感信息以及加固方法情感目標(biāo)：1.自主、開(kāi)放的學(xué)習(xí)能力2.良好的自我表現(xiàn)、與人溝通能力3.良好的團(tuán)隊(duì)合作精神目錄01文件包含漏洞概述02文件包含漏洞利用與防御目錄1.文件包含漏洞概述1.1文件包含在web后臺(tái)開(kāi)發(fā)中，程序員往往為了提高效率以及讓代碼看起來(lái)更加簡(jiǎn)潔，會(huì)使用包含函數(shù)功能，比如會(huì)把網(wǎng)頁(yè)引用的標(biāo)準(zhǔn)頁(yè)眉（head.php）或菜單文件寫(xiě)進(jìn)一個(gè)文件中,之后某個(gè)文件需要調(diào)用的時(shí)候就直接在文件頭中寫(xiě)上一句<？phpincludehead.php?>.使用文件包含為開(kāi)發(fā)者節(jié)省大量的時(shí)間。--當(dāng)頁(yè)眉需要更新時(shí)，您只更新一個(gè)包含文件就可以了，或者向網(wǎng)站添加一張新頁(yè)面時(shí)，僅僅需要修改一下菜單文件（而不是更新所有網(wǎng)頁(yè)中的鏈接）1.文件包含漏洞概述1.2文件包含漏洞有些時(shí)候，由于網(wǎng)站功能的需求，文件包含的代碼文件被寫(xiě)成了一個(gè)變量，且這個(gè)變量可以由前端用戶(hù)傳進(jìn)來(lái)，由于傳入的文件名沒(méi)有合理的校驗(yàn)，或者校驗(yàn)被繞過(guò)，從而操作了預(yù)想之外的文件，就可能導(dǎo)致意外的文件泄露甚至惡意的代碼注入，讀取系統(tǒng)給敏感文件。1.文件包含漏洞概述1.3文件包含代碼<?php$file=$_GET[‘file’];#將參數(shù)file的值傳遞給變量$fileinclude$file;#使用include函數(shù)包含文件?>原因分析：文件包含函數(shù)加載的參數(shù)沒(méi)有經(jīng)過(guò)過(guò)濾或者嚴(yán)格的定義，可以被用戶(hù)控制，包含其他惡意文件，導(dǎo)致了執(zhí)行了非預(yù)期的代碼。1.文件包含漏洞概述1.4PHP文件包含函數(shù)大部分文件包含的漏洞都出現(xiàn)在php的程序中，因PHP語(yǔ)言提供的文件包含功能太強(qiáng)大，太靈活。（1）include():包含過(guò)程中如果出現(xiàn)錯(cuò)誤，會(huì)拋出一個(gè)警告，程序繼續(xù)正常執(zhí)行。（2）include_once()：同include，只包含一次。（3）require()：包含過(guò)程中如果出現(xiàn)錯(cuò)誤，會(huì)退出程序的執(zhí)行。（4）require_once()：同require，只包含一次。使用與在腳本執(zhí)行期間同一個(gè)文件有可能被包括超過(guò)一次的情況下，你想確保它只被包含一次以避免函數(shù)重定義、變量重定義賦值等問(wèn)題。1.文件包含漏洞概述1.5文件包含漏洞分類(lèi)根據(jù)不同的配置環(huán)境，文件包含漏洞分為如下兩種情況：（1）本地文件包含：當(dāng)被包含的文件在服務(wù)器本地（2）遠(yuǎn)程文件包含：當(dāng)被包含的文件在遠(yuǎn)程服務(wù)器遠(yuǎn)程文件包含條件：在php.ini文件中allow_url_fopen=on#默認(rèn)打開(kāi)allow_url_include=on#默認(rèn)關(guān)閉1.文件包含漏洞概述1.5.1本地文件包含用戶(hù)Webserver：../../php/php.ini(敏感文件/系統(tǒng)配置文件)1.文件包含漏洞概述1.5.2遠(yuǎn)程文件包含用戶(hù)Webserver：遠(yuǎn)程包含目錄01文件包含漏洞概述02文件包含漏洞利用與防御目錄2.文件包含漏洞利用與防御2.1文件包含漏洞利用1.本地文件包含2.遠(yuǎn)程文件包含3.文件上傳+文件包含綜合利用2文件包含漏洞利用與防御2.2文件包含漏洞防御（1）在功能設(shè)計(jì)上盡量不要將文件包含函數(shù)對(duì)應(yīng)的文件放給前端進(jìn)行選擇和操作（2）過(guò)濾各種../../,http://,https://（3）配置php.ini配置文件allow_url_fopen=offallow_url_include=offmagic_quotes_gpc=on（4）通過(guò)白名單策略，僅允許包含運(yùn)行指定的文件，其他的都禁止小結(jié)1.文件包含漏洞的定義