0x00 引言
首先我们看一下wcschool对php文件包含的两个关键字的解释：
在include或require后接上路径地址，会在服务器执行当前脚本之前，插入路径中的文件内容。不管路径中的内容是什么，只要被include require包含进去，都是一样被当作php代码执行解释的。如果说这个路径是被写死的，那没办法，没有操作的空间了；如果说这个路径是可以改变的，是客户端可以自定义的，那么就有文件包含漏洞的可能性。比如路径是从GET方法中传递的，并且服务器代码没有对这个路径做严格的过滤，那么用户就可以修改路径的值，从而达到包含恶意代码、执行恶意代码的目的，或是读取到想要的内容，执行想要的操作。比如
<?php
$file=$_GET['file'];
include $file；
?>这段代码从$_GET全局数组中获取file参数作为路径，并包含这个路径。
0x01 远程文件包含
执行条件：php.ini配置文件中 allow_url_fopen=on allow_url_include = on
当开启了上述开关，php脚本就可以include远程文件的地址。这时候直接包含远程木马文件，访问目标文件，就可以执行恶意代码。因为
0x02 本地文件包含
当本地存在恶意木马文件时，可以直接包含利用，因此叫有文件利用，通常配合文件上传漏洞进行。当无法上传恶意木马，可以利用服务器本身存在的文件进行恶意木马包含。
有文件利用
假如网站存在文件上传点，通过各种方式将存在恶意木马内容的文件绕过上传检测，到达服务器，再进行包含，会将文件内容用php解释器进行解析。
无文件利用
伪协议绕过
php内置有很多URL风格的封装协议，可用于 fopen\copy\file_exists\filesize等文件系统函数。这些协议也能作为include后的参数。常见的伪协议如下;
- 1 file:// — 访问本地文件系统
- 2 http:// — 访问 HTTP(s) 网址
- 3 ftp:// — 访问 FTP(s) URLs
- 4 php:// — 访问各个输入/输出流（I/O streams）
- 5 zlib:// — 压缩流
- 6 data:// — 数据（RFC 2397）
- 7 glob:// — 查找匹配的文件路径模式
- 8 phar:// — PHP 归档
- 9 ssh2:// — Secure Shell 2
- 10 rar:// — RAR
- 11 ogg:// — 音频流
- 12 expect:// — 处理交互式的流
1. php://filter
使用条件：allow_url_fopen=on/off allow_url_include = on/off
php://filter 是一种元封装器， 设计用于数据流打开时的筛选过滤应用。 这对于一体式（all-in-one）的文件函数非常有用，类似 readfile()、 file() 和 file_get_contents()， 在数据流内容读取之前没有机会应用其他过滤器。
简单通俗的说，这是一个中间件，在读入或写入数据的时候对数据进行处理后输出的一个过程。
php://filter可以获取指定文件源码。当它与包含函数结合时，php://filter流会被当作php文件执行。所以我们一般对其进行编码，让其不执行。从而导致任意文件读取。
?file=php://filter/read=convert.base64-encode/resource=a.php #将php文件base64编码后输出，这样如果被include包含后就不会被当作php代码执行，而是直接读取上面的代码中，file是利用漏洞的参数名，convert.base64-encode 是转换过滤器，将文件内容经过这个过滤器变成base64编码的格式，resource是路径名，可以是相对路径。
2. data://
使用条件：allow_url_fopen=on allow_url_include = on
数据流封装器，以传递相应格式的数据。可以让用户来控制输入流，当它与包含函数结合时，用户输入的data://流会被php解释器执行。
127.0.0.1/include.php?file=data://text/plain,<?php%20phpinfo();?>假如服务端的代码过滤了php，可以用以下方式绕过：
127.0.0.1/include.php?file=data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8%2b3. file://
使用条件：allow_url_fopen=on/off allow_url_include = on/off
默认不添加协议时，使用的就是file协议，用于访问本地文件系统中的内容
4. php://input
使用条件：allow_url_fopen=on/off allow_url_include = on
php://input可以访问请求的原始数据的只读流，将post请求的数据当作php代码执行
http://127.0.0.1/cmd.php?cmd=php://input
POST数据：<?php phpinfo()?>网站中间件日志文件包含
不同的中间件都会有日志文件，记录每一次请求的IP地址、时间、访问路径、状态码以及user-agent等各种信息。因此可以尝试在发送请求包时，构造请求包中一些会被存储到日志文件中的参数内容，达到注入恶意代码的目的，随后将日志文件进行包含，让恶意代码被解释器执行。
想包含目录文件首先得知道路径。Linux系统下，Apache的日志文件默认存储在/var/log/httpd/access_log路径中；Windows系统下，默认存储在Apache的安装目录下的\logs\access.log中。
SSH日志文件包含(Linux系统)
对于Linux系统，SSH的日志文件默认存在于/var/log/auth.log的路径下。尝试登录目标服务器SSH，密码或用户名写一句话木马，就会被存储到日志文件中，随后进行包含。
session包含
当可以获取session文件路径并且session文件的内容可控的时候，就可以通过包含session文件进行文件包含攻击。
假如访问的目标页面会自动开启一个session会话，并且会话中的某些属性值是用户端可控的，比如：
session_start();
$ctfs=$_GET['ctfs'];
$_SESSION['username']=$ctfs若是用户传入的ctfs值为一句话木马，木马就会存储进session文件中。Linux中，session文件默认会存储在/tmp 或 /var/lib/php/session中；Windows中默认存储到Windows：C:WINDOWSTemp 或集成环境的TMP文件夹中。
session文件的文件名以sess_开头，后面跟Sessionid。Sessionid在session会话开启时自动生成，并返回给客户端，可以在浏览器中cookie中找到，会话开启后再抓包也可以找到，因为会作为参数传递给服务器。
假如目标页面的服务器端不存在开启session的代码，但是存在文件上传点，可以利用文件上传时SESSION_UPLOAD_PROGRESS的机制，该机制会自动创建一个session文件，并且文件内容用户可控。
利用条件：session.upload_progress.enabled: On (默认开启)
SESSION_UPLOAD_PROGRESS是php>=5.4后开始添加的一个特性，对服务端没什么用，但是用户端可以发送一个post请求来查看上传进度。我们构造一个如下的表单：
<!doctype html>
<html>
<body>
<form action="http://192.168.43.82/index.php" method="POST" enctype="multipart/form-data">
<input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="生成小马的木马" />
<input type="file" name="file" />
<input type="submit" />
</form>
</body>
</html>随意上传一个文件，抓包添加一个cookie:PHPSESSID=111（这一步的目的是让服务端创建session文件时，以我们这个111来命名，这样才能拿到正确的路径），发送，服务端会自动创建一个sess_111的session文件，内容就是value的木马。当上传结束后，sess_111文件中的值会自动清空，因为php配置文件中session.upload_progress.cleanup = on是默认开启的，所以我们要进行条件竞争，在清空前赶紧包含session文件进行访问。
最后，有篇文章总结的特别全面，这里贴出来✔PHP文件包含漏洞全面总结 – Zeker62 – 博客园
alert(1)
alert(1)
alert(1)
<a herf=”javascript:alert(1)”>test