web-playbook-16-lfi-rfi-file-i…

# PHP+Apache 内部测试站 LFI 测试 Playbook

⚠️ 仅限你拥有授权的内部测试站执行，禁止用于未授权目标。

一、测试范围确认

• 目标：/include/ 目录下 3 个带 file 参数的页面
• 先确认参数形式：?file=xxx.php、?file=xxx、?page=、?path= 等命名差异

二、测试步骤（按风险从低到高）

1. 基础探测

• 同目录文件包含：file=config.php、file=db.php（看页面是否报错/行为变化）
• 目录遍历：file=../index.php、file=../../robots.txt，逐步加 ../ 层数
• 报错观察：关注 failed to open stream、include() 等报错泄露的绝对路径

2. 常见 LFI Payload（逐一验证）

• 绝对路径：/etc/passwd、/etc/hosts
• PHP 封装协议：
• php://filter/read=convert.base64-encode/resource=config.php（读源码，危害大且不易触发报错）
• php://filter/convert.base64-encode/resource=../include/target.php
• 截断技巧（老版本 PHP <5.3 有效）：file=../../../../etc/passwd%00
• 编码绕过：双写 ../（....//）、URL 编码（%2e%2e%2f）

3. 进阶利用（条件苛刻，仅验证可行性）

• 日志包含：Apache access.log / error.log 注入 PHP 代码（需日志可读+路径可猜）
• 会话文件包含、/proc/self/environ（视配置而定）
• 若允许上传（配合 php://input 需 allow_url_include=On，现代环境极少开启）

三、评分标准（建议 CVSS 思路）

| 情形 | 评分区间 |

|---|---|

| 仅能读非敏感文件 | 中危（5-7） |

| 可读源码/配置（含数据库凭据） | 高危（7-9） |

| 可执行代码（RCE） | 严重（9-10） |

| 参数有白名单、无法绕过 | 低危/信息泄露（≤4） |

四、修复建议

1. 白名单：$allowed = ['page1.php','page2.php']; if(!in_array($_GET['file'],$allowed)) die();

2. 禁止用户输入直接拼接路径，过滤 ../、..\\、空字节、php:// 等协议

3. php.ini 中设置 allow_url_include=Off、allow_url_fopen=Off

4. open_basedir 限定 PHP 可访问目录范围

5. 文件包含统一走路由/前端控制器模式，而非动态 include

6. 修复后回归验证：重放所有 payload 确认返回 403/报错，且日志中路径未泄露

五、输出物

• 每个页面的测试结果表（payload、响应、是否利用成功）
• 3 个页面单独评分 + 综合评级
• 复现步骤（内部留档）与上述修复项对照清单