【合天网安实验室】DoraBox之文件包含及任意文件读取漏洞

 

•  目的：

         过DoraBox靶场系列练习，学习任意文件包含、目录限制文件包含及任意文件读取漏洞的利用过程。

---

 

 实验过程：

1.确保Apache、MySQL服务正常开启

2、查看.txt文本内容

3.使用include直接包含，可以直接进行任意文件读取

4.在file输入.txt文档路径，点击【submit】，显示以下内容

成功包含并执行了.txt的PHP代码

 

5、目录限制文件包含：尝试包含phpStudy目录里的phpinfo.php文件

     查看源代码：

6、在【file】处输入../../phpinfo.php并点击【submit】

 7.任意文件读取漏洞测试

与文件包含不同之处，任意文件读取不能执行，只能读取文件内容。

查看源码：发现没有限制。

8、读取Everything,ini文件

---

思考与分析题：

1.本地和远程包含的利用条件是什么？

答：本地是在本地服务器上，包含服务器的资源。

远程是通过HTTP协议包含其它地方的资源，【需要在phpini改配置，allow_url_include = On】默认是关闭的，需要开启配置文件修改后需要重启。

 

2.文件包含防御策略有哪些？

答：1）无需要情况设置allow_url_include和allow_url_fopen为关闭

2）对可以包含的文件进行限制，可以使用白名单的方式，或者设置为可以包含的目录。

3）严格检查include类的文件包含函数中的参数是否外界可控。

4）建议假定所有输入都是可疑的，尝试对所有输入提交可能包含的文件地址，包括服务器本地文件及远程文件，进行严格的审查，参数中不允许出现../之类的目录跳转符

---

（如有不足或者侵权的地方，请尽快联系我，我会及时修改或删除，非常感谢）

    我们要以高涨的信心和喷涌的力量去战斗。加油吧，少年，去追求更好的自己！