1. 项目概述从靶场到实战的攻防视角在网络安全领域PHP文件包含漏洞是一个经久不衰的经典议题。它不像SQL注入那样直观也不像XSS那样容易被感知但它往往能成为攻击者从“信息泄露”到“系统沦陷”的关键跳板。很多新手在CTFCapture The Flag比赛中比如BUUCTF平台上的相关题目初次接触这个漏洞时可能会觉得它“神奇”甚至有些“取巧”——利用一个include或require函数配合伪协议就能读取源码甚至执行命令。然而当视角从解题的靶场切换到真实的业务系统时你会发现这个漏洞的杀伤力被严重低估了。它可能潜伏在一个不起眼的模板渲染、一个日志记录功能甚至是一个自以为安全的配置文件中。这篇文章我将从一个渗透测试工程师的角度带你重新审视PHP文件包含漏洞。我们不会止步于解出几道CTF题而是会深入剖析漏洞的原理、在真实环境中的多种利用姿势、以及最容易被忽视的防御盲点。我会结合自己在代码审计和红队评估中遇到的实际案例分享从漏洞发现、利用到最终修复的完整链条。无论你是正在学习Web安全的初学者还是希望加固自身项目的中高级开发者都能从中获得“即学即用”的实战经验。2. 漏洞原理深度拆解不止是“包含文件”那么简单很多人对文件包含漏洞的理解停留在“能读取任意文件”的层面这其实只看到了冰山一角。要真正理解其危害必须深入到PHP解释器处理文件包含的内部逻辑。2.1 包含函数的本质与差异PHP中主要的文件包含函数有四个include、require、include_once、require_once。它们的核心功能都是将指定文件的内容引入当前脚本并执行其中的PHP代码。关键在于被包含文件的路径参数$filename如果被用户控制且未经过严格过滤就会引发漏洞。它们的区别主要体现在错误处理上include包含失败时产生一个E_WARNING警告脚本继续执行。require包含失败时产生一个E_COMPILE_ERROR致命错误脚本停止执行。_once后缀确保同一文件在脚本执行期间只被包含一次防止函数重定义等问题。在漏洞利用上这些函数没有本质区别。攻击者关心的是能否控制路径。一个典型的漏洞代码片段如下// vuln.php $page $_GET[page]; include($page . .php);开发者本意可能是让用户通过?pagehome来加载home.php模板。但如果用户传入?page../../etc/passwd%00在特定PHP版本下结合空字节截断就可能读取到系统文件。2.2 为什么包含会导致代码执行这是文件包含漏洞最危险的特征也是它与“任意文件读取”漏洞的根本区别。当PHP引擎执行include函数时它会做两件事读取指定路径的文件内容。将这些内容当作PHP代码来解析和执行。这意味着如果你能控制包含的路径并让服务器包含一个你上传的、内容为?php phpinfo();?的图片文件那么这段PHP代码就会被执行。即使文件后缀是.jpg只要文件内容以?php开头且服务器配置如magic_quotes_gpc为off或存在可绕过手段允许PHP引擎就会尝试解析其中的PHP标签。这引出了“本地文件包含”与“远程文件包含”的经典分类本地文件包含只能包含服务器本地文件系统上的文件。利用方式通常需要结合文件上传、日志注入、环境文件等将恶意代码写入一个可访问的本地文件再包含它。远程文件包含通过http://或ftp://等协议直接包含远程服务器上的文件。这需要php.ini中allow_url_include设置为On默认是Off因此在实际环境中较少见但一旦开启危害极大。注意从PHP 5.2开始allow_url_include默认关闭且官方强烈不建议开启。因此现代渗透测试中LFI是主要攻击方向。2.3 伪协议文件包含的“瑞士军刀”PHP内置的众多封装协议是文件包含漏洞利用的灵魂。它们将简单的文件读取操作变成了一个功能强大的攻击面。以下是几个最关键的协议1. php://filter这是信息收集阶段最常用的协议。它允许你对数据流进行过滤操作。读取源码当网站对直接访问.php文件做了限制或你想获取关键配置文件时可以使用它。?pagephp://filter/readconvert.base64-encode/resourceindex.php这会将index.php的内容进行base64编码后输出。为什么需要编码因为include会执行源码中的PHP代码直接读取看到的会是执行后的空白页或结果。通过convert.base64-encode过滤器我们可以拿到原始的、未执行的源代码解码后进行分析。其他过滤器string.rot13、zlib.deflate等有时用于绕过简单的关键词过滤。2. php://input这个协议允许你访问请求的原始数据流即POST数据体。当allow_url_include开启且包含点对协议控制不严时可以直接执行POST过去的代码。GET: ?pagephp://input POST: ?php system(whoami);?这相当于一个无需文件上传的“一句话木马”。3. file://访问本地文件系统的标准协议。?pagefile:///etc/passwd。在绝对路径已知时使用。4. data://同样需要allow_url_includeOn。它允许在URI中直接嵌入数据。?pagedata://text/plain,?php phpinfo();? // 或经过base64编码避免特殊字符问题 ?pagedata://text/plain;base64,PD9waHAgcGhwaW5mbygpOz85. zip:// 与 phar://这两个协议用于处理压缩包是文件包含漏洞利用的高级技巧常用于绕过文件上传限制。你可以将一个包含恶意代码的PHP文件压缩成shell.zip然后上传。接着通过包含zip://shell.zip%23shell.php#需要编码为%23来执行压缩包内的PHP文件。phar://协议功能更强大不仅能包含还能序列化对象常与PHP反序列化漏洞结合产生更大的威力。理解这些协议的工作原理是灵活利用文件包含漏洞的基础。在BUUCTF的题目中你会反复遇到它们的不同组合。3. BUUCTF经典题目实战复盘与技巧延伸BUUCTF平台上有大量涉及文件包含的题目它们像一个个精心设计的迷宫引导你一步步掌握各种利用技巧。我们挑几个有代表性的复盘解题思路并延伸出在真实环境中类似的攻击场景。3.1 [ACTF2020 新生赛]Include过滤与绕开的启蒙这道题通常非常简单直接提示了文件包含并有一个?fileflag.php的链接。点击后发现页面显示“Can you find out the flag?”但源码中看不到flag。解题思路直接访问flag.php可能被重定向或禁止访问。尝试使用php://filter读取源码?filephp://filter/readconvert.base64-encode/resourceflag.php将返回的一串base64编码字符串解码即可在源码注释或变量中找到flag。实战延伸 在真实环境中开发者可能会用.htaccess或Nginx配置禁止直接访问config.php、database.php这类敏感文件。但如果在某个功能点存在文件包含且路径拼接时未过滤协议攻击者就能用完全相同的手法窃取数据库密码、API密钥等核心配置。我曾在一个CMS的模板编辑功能中遇到过类似情况通过包含php://filter读取到了数据库配置文件从而直接接管了后台。3.2 包含与日志注入的结合有一类题目网站本身没有文件上传功能但存在文件包含漏洞。突破口往往在服务器的日志文件里。场景模拟 一个网站有访问日志/var/log/nginx/access.log。日志默认会记录User-Agent头。攻击者可以构造一个特殊的HTTP请求GET /index.php HTTP/1.1 Host: target.com User-Agent: ?php eval($_POST[cmd]);?这段PHP代码会被原样记录到access.log文件中。接着攻击者利用文件包含漏洞去包含这个日志文件?page/var/log/nginx/access.log。由于日志文件中现在包含了PHP标签include函数会将其作为代码执行攻击者便可以通过POST传递cmd参数来执行任意系统命令。BUUCTF解题思路发现包含点但无法上传文件。猜测或扫描常见的日志文件路径如/var/log/apache2/access.log/var/www/logs/access.log等。通过修改User-Agent或Referer等头部将PHP代码写入日志。包含日志文件获取Webshell。实战心得日志文件路径因操作系统、Web服务器Apache/Nginx、安装方式而异。在实战中需要结合报错信息、已知的CMS默认配置、路径遍历爆破来定位。此外日志文件通常很大包含执行可能会超时或报内存错误。一个技巧是先在User-Agent里写入一个简单的?php phpinfo();?测试成功后再写入更精简的一句话木马。同时要注意日志文件的权限Web进程必须有读取权限才行。3.3 利用/proc/self/environ或session文件这是Linux系统下两个经典的LFI到RCE的利用链。/proc/self/environ这个文件包含了当前进程即处理请求的PHP进程的环境变量。其中HTTP_USER_AGENT、HTTP_REFERER等字段来自HTTP请求头。和日志注入原理类似攻击者可以通过修改这些请求头将代码注入environ文件再包含它执行。Session文件PHP默认会将session数据存储在服务器临时目录的文件中如/tmp/sess_[sessionid]。如果Session内容用户部分可控例如网站将用户名存入$_SESSION[username]且Session文件路径可预测通常为/tmp/sess_你的PHPSESSID那么就可以通过文件包含来执行Session文件中的代码。实战技巧 这些利用方式对条件要求比较苛刻需要知道确切路径、有写入权限、内容未被转义等但在一些特定的老旧系统或配置不当的服务器上仍然可能成功。它们考验的是攻击者的信息收集能力和对系统运行机制的理解深度。3.4 伪协议与编码绕过的艺术当题目中出现简单的关键词过滤时如过滤了“php”、“data”、“.”等字符就需要利用伪协议的特性进行绕过了。例题过滤了“php”字符串。无法直接使用php://filter。但可以使用PHP://filter大小写绕过或者使用php的短标签?配合filter协议的其他写法有时php://可以被php:/* */filter这样的注释形式绕过取决于过滤逻辑的严谨性。或者转而使用zip://或phar://协议它们不包含“php”关键字。例题过滤了“.”防止目录遍历。对于php://filter其resource参数不一定需要“.”。你可以尝试绝对路径或者利用已知的目录结构。使用convert.iconv.*过滤器进行字符转换有时能绕过对特定字符的检查。这是一种非常高级的绕过方式需要对PHP过滤器的字符集转换有深刻理解。在真实世界的WAFWeb应用防火墙规则中可能会黑名单过滤../、php://等字符串。这时双写绕过..././、超长路径截断在旧版PHP中有效、利用操作系统路径解析特性如Windows下..\和../的混用都可能成为突破口。我曾遇到一个案例WAF过滤了../但没过滤..\而后端服务器是Windows成功实现了路径遍历。4. 真实环境中的攻击链构建与防御盲点脱离靶场在真实的网络渗透测试中文件包含漏洞很少孤立存在。它通常是攻击链中的一环需要与其他漏洞或信息结合才能发挥最大威力。4.1 典型攻击链场景场景一文件上传 文件包含这是最经典的组合拳。一个网站允许上传图片但仅在前端或简单的MIME类型检查后端并未重命名文件或检查文件内容。攻击者上传一个包含一句话木马的shell.jpg文件。通过响应或目录扫描得知文件存储在/uploads/2023/10/shell.jpg。随后在网站另一处存在文件包含的功能点如“主题切换”、“语言包加载”构造参数?module../../../uploads/2023/10/shell.jpg成功触发代码执行获得Webshell。场景二信息泄露 文件包含 权限提升通过文件包含读取/etc/passwd确认系统用户。读取Web应用的配置文件如config.php、database.php获取数据库密码。可能发现数据库用户具有FILE权限尝试通过数据库写入文件到Web目录。或者读取/proc/self/cmdline了解当前进程启动命令寻找其他服务漏洞。最终结合内核漏洞或服务漏洞进行提权。场景三PHP封装协议与反序列化结合phar://协议不仅能包含文件还能触发PHP对象的反序列化。如果网站中存在一个类其__wakeup()或__destruct()方法有危险操作如文件删除、命令执行攻击者可以构造一个恶意的序列化字符串将其放入一个phar文件中然后通过phar://协议包含这个文件从而触发反序列化漏洞实现RCE。这种利用方式完全不需要unserialize()函数的存在隐蔽性极高。4.2 开发者常见的防御误区与盲点很多开发者和运维人员知道要防御文件包含但采取的措施往往存在漏洞。误区一仅过滤../或空字节$file str_replace(../, , $_GET[file]); include($file . .php);这种过滤非常脆弱可以用....//绕过经过str_replace后变成../。更专业的做法是使用白名单或者将用户输入严格限制在某个安全目录内。误区二使用黑名单过滤协议if(preg_match(/^(php|file|data|zip|phar):/i, $file)){ die(Hacker!); }黑名单永远有漏网之鱼。可能遗漏了PHP:大小写、PhAr:或者未来PHP版本新增的协议。最根本的防御是如果业务逻辑不需要动态包含就避免使用这些函数。如果必须使用则采用白名单机制。误区三认为设置了open_basedir就高枕无忧open_basedir是PHP的一个配置项用于将PHP可访问的文件限制在指定的目录树中。这确实能有效防御跨目录的文件包含。但是它不能防御同一目录下的文件包含比如包含上传目录里的恶意文件。如果配置错误如多个目录用冒号分隔时末尾有空格可能导致限制失效。在某些特定条件下如结合symlink符号链接可能被绕过。误区四忽略框架和第三方库的风险开发者可能对自己的代码进行了严格过滤但却使用了存在文件包含漏洞的第三方库、插件或框架。例如某些CMS的模板引擎、插件安装模块、语言包加载功能都可能成为漏洞点。防御时需要有全局视角及时更新所有组件。5. 从根源到外围立体化防御指南防御文件包含漏洞不能只靠一招一式的代码过滤需要一个从开发到运维的立体化防御体系。5.1 安全编码实践治本之策1. 白名单机制是黄金法则如果业务上必须动态包含文件请务必使用白名单。$allowed_pages [home, about, contact]; $page $_GET[page]; if (in_array($page, $allowed_pages)) { include($page . .php); } else { include(404.php); }将允许的文件名预先定义在数组中任何不在名单内的输入都被拒绝。2. 固定目录与后缀如果白名单不适用至少要将文件路径锁定在某个安全目录内并强制添加后缀。$base_dir /var/www/html/templates/; $file basename($_GET[file]); // 使用basename去除路径 $path $base_dir . $file . .php; // 可选再次检查路径是否仍在base_dir内 if (strpos(realpath($path), $base_dir) 0) { include($path); } else { die(Invalid file.); }这里使用了basename()防止目录遍历用realpath()解析真实路径并与基准目录比较确保没有符号链接攻击。3. 避免动态包含从根本上审视业务逻辑是否真的需要动态包含很多情况下使用路由分发如index.php?actionhome由路由控制器调用HomeController或前端渲染如Vue/React是更安全、更现代的替代方案。5.2 服务器与PHP环境加固1. 关键php.ini配置allow_url_include Off永远保持关闭禁用远程文件包含。allow_url_fopen Off如果业务不需要从URL打开文件也建议关闭减少攻击面。open_basedir /var/www/html设置为Web根目录限制PHP的文件操作范围。disable_functions exec,passthru,shell_exec,system,proc_open,popen,...在不需要的系统命令执行函数列表中可以加上include,require,include_once,require_once。这是一种极端但有效的措施彻底禁用这些函数但需要评估对业务的影响。2. 文件系统权限最小化Web服务器进程如www-data用户的运行权限应尽可能低。上传目录给予755权限且目录中的文件权限设置为644并确保该目录没有执行权限或通过配置禁止在该目录解析PHP。关键配置文件如config.php应放在Web根目录之外并通过require_once引入。3. Web服务器配置在Nginx中可以为上传目录添加配置禁止执行PHPlocation ~ ^/uploads/.*\.(php|php5)$ { deny all; }在Apache中可以使用.htaccessphp_flag engine off。5.3 安全运维与持续监控1. 代码审计与组件更新对新上线的代码进行人工或工具如RIPS、Fortify的安全审计重点关注文件操作函数。定期更新PHP版本、Web服务器、框架及所有第三方库修复已知漏洞。2. WAF规则配置部署Web应用防火墙配置规则检测常见的文件包含攻击特征如../序列、PHP伪协议字符串、/etc/passwd等敏感路径。但要知道WAF是缓解措施不是根本解决方案可以被绕过。3. 日志监控与入侵检测集中监控Web访问日志和错误日志设置告警规则对频繁出现../、php://、/proc/等敏感字符串的请求进行告警。使用文件完整性监控工具监控/tmp、上传目录等关键位置是否有新的可执行文件产生。文件包含漏洞的攻防是一场关于“控制权”的博弈。攻击者想尽一切办法控制include函数的参数而防御者的核心任务就是彻底剥夺或严格限制这种控制权。从BUUCTF的解题技巧到真实环境的防御部署其内核逻辑是相通的理解原理、穷尽可能、加固根本。希望这篇从实战出发的指南能让你不仅成为一个能解出题目的CTFer更能成为一个懂得如何构建真正安全防线的开发者或安全工程师。安全之路道阻且长唯有关注细节、持续学习方能筑牢防线。