PHP文件包含漏洞深度解析：从HCTF 2018 WarmUp看白名单绕过艺术

漏洞背景与场景还原

2018年HCTF竞赛中的WarmUp题目成为了PHP文件包含漏洞的经典教学案例。这道题看似简单的笑脸页面背后，隐藏着对PHP文件包含机制和安全校验逻辑的深度考验。题目通过一个精心设计的checkFile函数，要求攻击者在严格的白名单限制下实现任意文件读取。

文件包含漏洞在Web安全领域始终占据重要地位。根据近年来的安全报告，由于错误配置或逻辑缺陷导致的文件包含问题，约占所有Web漏洞的15%。这类漏洞的危害不仅在于敏感信息泄露，更可能成为服务器沦陷的突破口。

代码审计：三层防御机制拆解

让我们深入分析题目中的核心校验逻辑。emmm类的checkFile方法构建了三道防御关卡：

class emmm { public static function checkFile(&$page) { $whitelist = ["source"=>"source.php","hint"=>"hint.php"]; // 第一层：基础校验 if (!isset($page) || !is_string($page)) { echo "you can't see it"; return false; } // 第二层：直接匹配 if (in_array($page, $whitelist)) { return true; } // 第三层：问号截断检查 $_page = mb_substr($page, 0, mb_strpos($page.'?', '?')); if (in_array($_page, $whitelist)) { return true; } // 第四层：URL解码后检查 $_page = urldecode($page); $_page = mb_substr($_page, 0, mb_strpos($_page.'?', '?')); if (in_array($_page, $whitelist)) { return true; } echo "you can't see it"; return false; } }

这个校验机制看似严密，实则存在多个突破点。我们需要特别关注几个关键函数：

突破路径：三种有效Payload构造

方法一：基础路径穿越

最直接的思路是利用白名单文件作为跳板进行目录穿越：

source.php?../../../../../../../../ffffllllaaaagggg

工作原理：

1. mb_strpos检测到问号，截取前10个字符"source.php"
2. 截取后的结果匹配白名单，校验通过
3. 实际包含时，问号后的路径被解释为相对路径

注意：这种方法的成功率取决于服务器配置，某些环境会严格解析问号前的路径

方法二：单次URL编码绕过

当基础方法失效时，可以尝试对关键字符进行编码：

source.php%3f../../../../../../../../ffffllllaaaagggg

技术细节：

• %3f是问号的URL编码
• 校验时urldecode会解码为原始问号
• 包含阶段仍保持编码状态，可能绕过某些安全限制

方法三：双重URL编码终极绕过

对于更严格的过滤环境，可以采用二次编码策略：

source.php%253f../../../../../../../../ffffllllaaaagggg

执行流程：

1. 第一层urldecode将%253f转换为%3f
2. 第二层处理时%3f再解码为问号
3. 最终实现与基础方法相同的效果，但能绕过更多防御

漏洞复现环境搭建

为了深入理解漏洞原理，建议搭建本地测试环境。以下是使用Docker快速搭建的指南：

FROM php:7.2-apache COPY src/ /var/www/html/ RUN chmod -R 755 /var/www/html

配套的PHP测试代码（保存为source.php）：

<?php $file = $_GET['file']; if (emmm::checkFile($file)) { include($file); } else { echo "Access denied!"; }

启动命令：

docker build -t warmup . docker run -d -p 8080:80 warmup

防御方案与最佳实践

针对此类漏洞，我们推荐多层防御策略：

1. 输入验证层

   • 使用绝对路径白名单而非相对路径
   • 禁止包含用户可控变量中的路径穿越符

2. 服务器配置层

   <Directory "/var/www"> Options -Indexes -Includes AllowOverride None </Directory>

3. 代码实现层

   function safeInclude($file) { $base = '/var/www/safe_dir/'; $real = realpath($base . $file); if (strpos($real, $base) === 0 && file_exists($real)) { include $real; } }

漏洞利用的进阶思考

在实际渗透测试中，文件包含漏洞往往与其他漏洞形成组合拳。例如：

1. 结合日志注入实现代码执行
2. 利用PHP伪协议（如php://filter）读取源码
3. 配合文件上传实现webshell部署

一个有趣的技巧是使用zip://协议：

include('zip:///path/to/archive.zip%23malicious.php')

这种技术可以绕过某些基础的文件扩展名检查。