4.8.1 文件包含

分析

问题出在index.php

index.php

先看50行~52行，这里定义了一个target黑名单，名单内有import.php和export.php
继续看下面，55行到60行这里是一个多条件判断：

$_REQUEST['target']不能为空
$_REQUEST['target']为字符串
不以index开头
不在黑名单内
Core::checkPageValidity方法返回为True

在满足上述条件时，就会执行include $_REQUEST['target'];，将请求参数target的值作为文件名包含进本页面，其中1到4的条件很好满足，我们来看看Core::checkPageValidity方法

search

通过搜索函数名，找到了该方法的定义文件\libraries\classes\Core.php

Core.php

这里定义了两个形参，其中第二个$whitelist缺省值为空数组

445~447行：当$whitelist为空时，$whitelist=self::$goto_whitelist

$goto_whitelist在Core.php的30~80行定义

    public static $goto_whitelist = array(
        'db_datadict.php',
        'db_sql.php',
        'db_events.php',
        'db_export.php',
        'db_importdocsql.php',
        'db_multi_table_query.php',
        'db_structure.php',
        'db_import.php',
        'db_operations.php',
        'db_search.php',
        'db_routines.php',
        'export.php',
        'import.php',
        'index.php',
        'pdf_pages.php',
        'pdf_schema.php',
        'server_binlog.php',
        'server_collations.php',
        'server_databases.php',
        'server_engines.php',
        'server_export.php',
        'server_import.php',
        'server_privileges.php',
        'server_sql.php',
        'server_status.php',
        'server_status_advisor.php',
        'server_status_monitor.php',
        'server_status_queries.php',
        'server_status_variables.php',
        'server_variables.php',
        'sql.php',
        'tbl_addfield.php',
        'tbl_change.php',
        'tbl_create.php',
        'tbl_import.php',
        'tbl_indexes.php',
        'tbl_sql.php',
        'tbl_export.php',
        'tbl_operations.php',
        'tbl_structure.php',
        'tbl_relation.php',
        'tbl_replace.php',
        'tbl_row_action.php',
        'tbl_select.php',
        'tbl_zoom_select.php',
        'transformation_overview.php',
        'transformation_wrapper.php',
        'user_password.php',
    );

448~450行：当$page未定义或者$page不为字符串时，返回False

452~454行：当$page存在于$whitelist数组内时，返回True

456~463行：获取$page中'?'前的所有字符串（不存在时获取全部），然后判断是否在$whitelist数组中，存在返回True

465~473行：同上，只不过先对$page进行urldecode

否则，返回False

这样的话，可以通过url编码的方式，让该函数返回True

在$whitelist中随便找一个元素，不能在黑名单中，后面跟上编码后的'?'，然后跟上文件的相对路径，可以用'/../../'去跳目录