file-inclusion

name	file-inclusion
description	文件包含检测技能 —— 面向真实业务系统，定位接收文件路径参数的端点（页面渲染/模板加载/配置导入），通过注入路径遍历和 URL 参数探测应用是否未过滤用户输入的文件路径，验证 LFI（本地文件包含）和 RFI（远程文件包含）漏洞，产生可复现 PoC
phase	test
severity_focus	high

文件包含检测技能（LFI/RFI）

定位：面向真实授权业务系统的文件包含验证，不是跑扫描器出报告。核心在于「识别哪些端点接收文件路径参数」并「证明应用未对用户输入的文件路径进行安全过滤」——重点检测页面包含、模板加载、配置导入、文件下载等接收文件路径的端点，而非盲目对所有参数发送文件包含 Payload。

漏洞原理

文件包含漏洞的本质是：应用在处理用户可控的文件路径参数时，未对路径进行安全验证和过滤，直接将其传递给文件包含函数（如 PHP 的 include()/require()、Java 的 FileInputStream、Node.js 的 fs.readFile()），攻击者可以通过构造恶意路径读取服务器上的任意文件或加载远程恶意代码。

• 本地文件包含（LFI）：应用接收文件路径参数并使用包含函数加载本地文件，攻击者通过路径遍历（../）和绝对路径读取服务器上的敏感文件——如 /etc/passwd、配置文件、源代码。LFI 不依赖远程服务器加载，攻击路径为本地文件系统。
• 远程文件包含（RFI）：应用接收文件路径参数并将其用于远程文件加载（如 PHP 的 allow_url_include=on 时支持 http:///ftp://），攻击者可以指定攻击者控制的 URL，让服务器加载并执行远程恶意代码——这是比 LFI 更严重的漏洞，可直接获取服务器权限。
• PHP Wrapper 利用：PHP 环境下，LFI 可配合 PHP 伪协议（php://filter/）绕过文件执行限制，直接读取文件内容（php://filter/convert.base64-encode/resource=/etc/passwd），或通过 expect:// 执行系统命令。
• 路径截断：部分应用对路径长度有限制，攻击者通过超长路径或特殊字符（ 空字节）截断后续验证，绕过路径白名单。