文件包含常用参数，你真的搞懂了吗？我一开始也头大,学会后直呼真香！
哎，说到这个文件包含漏洞，我真的是又爱又恨啊！爱是因为它一旦利用成功，那成就感简直爆棚；恨呢，是因为刚开始学的时候，那些乱七八糟的参数和路径绕得我晕头转向，差点就放弃了，等我静下心来，把这个文件包含常用参数捋清楚之后，哇塞，瞬间感觉打开了新世界的大门！今天咱就掏心窝子地聊聊，希望能帮你少走点我当初的弯路，别客气,直接拿去用！
咱们得明白一个事儿，文件包含这东西，归根结底就是代码里有个“引入文件”的动作，攻击者呢，就是想办法控制这个动作里的路径参数，而这个参数，往往就是咱们说的文件包含常用参数，最常见的，肯定得是page、file、path这些老面孔了，我当时看代码，一看到?page=home.php这种，眼睛都得亮一下，心想这不就送上门来了吗？你可以试试把page的值改成../../../../etc/passwd，如果服务器没做过滤，嘿嘿，那酸爽，密码文件直接裸奔在你面前了,是不是很刺激？
不过嘛，光知道这些还不够，你得像了解老朋友一样了解它们的“小脾气”，有的程序用的是include或require函数，有的呢，可能对参数做了拼接，比如强制加了个.php后缀，唉，这时候别提多郁闷了，你明明传了个php://filter/convert.base64-encode/resource=index.php，结果它给你后面加个尾巴，直接报错，是不是气得想摔键盘？别急，这时候我们就得使出“终极魔法”——空字节截断（老版本PHP）或者 %00截断，虽然现在新版本不吃这套了，但历史悠久的系统里可好使了，还有利用长路径截断的技巧，虽然要求苛刻,但试试也不亏嘛。
说到PHP里的这些协议，那可真是宝藏，除了刚才提到的php://filter（用来读源码进行审计），还有php://input，这个可就厉害了，它可以让你直接提交POST数据当作PHP代码执行，我勒个去，这哪里是访问参数，这简直是给了你一个WebShell的入场券呀！你是不是也觉得不可思议？比如配合page=php://input，然后在POST数据里写上<?php system('whoami'); ?>，如果服务器允许，那你就直接拿下系统权限了。所以啊，遇到文件包含漏洞，建议把data://协议也纳入你的参数尝试字典里，用URL编码的方式传入代码，有时候会有意外之喜，得看你服务器的allow_url_include配置支不支持,不然也是竹篮打水一场空。
除了PHP，在Java的Web应用里，那些框架的组件往往也有文件包含参数，比如Struts2的redirect:或action:参数，老版本的漏洞里就有文件包含的影子，而在Python的Flask或者Django中，如果处理不当，某些视图函数的参数比如template可能就用来加载模板文件，这时候构造../../../../etc/passwd也能读到系统文件，哎，这些思路其实都是相通的,核心不就是那个拿来引用的变量嘛！
再来聊聊LFI和RFI，刚才说的都是本地文件包含（LFI），它大多时候读取本地敏感信息，但如果你想做远程文件包含（RFI），那就得测试一下http://或https://开头的参数值，把外网的一个恶意的代码文件包含进来，直接执行，那一步登天的感觉，简直了！这要求PHP得开启allow_url_fopen和allow_url_include，很多站点为了安全都关了,运气成分占很大比例。
说了这么多，你有没有发现，其实遇到一个包含点，我最先干的事就是仔细看代码，看有没有过滤，能不能绕过，然后就是组合各种文件包含常用参数的Payload，就好比打牌，你得有A计划（基础目录穿越），也得有B计划（协议流），还得藏着C计划（截断或日志注入），你们有没有遇到过那种情况？包含失败后，切到/var/log/apache2/access.log（日志文件）里面对UA头写入马儿，再把它包含进来，啊！那时候成功后的喜悦，我真的能记很久，哈哈！那种感觉,别提多舒坦了。
文件包含的精髓在于你对page、file这类参数的理解深度，建议新手朋友，先别急着实战，先把那些危险的参数记得滚瓜烂熟，在本地环境多多筑基。更多详细的参数类型和测试姿势，我那篇 一文详解文件包含常用参数 已经整理清楚了，你可以去看看。 遇到不懂的，多翻翻历史文档,动手去试才是最关键的。
咱就是说，搞安全这行，就得有侦探那股子执拗劲儿，当你把一个看似不可能包含成功的点，硬生生用编码绕过或者伪协议打通了，那个中滋味，比夏天喝冰可乐还爽！所以呀，别怕参数复杂，别嫌过程繁琐，一个个试过去，总会有惊喜的，希望今天的碎碎念，能帮你在挖洞的路上少跌几个跟头，多点成就感！好了，不扯了，手上有个系统还没测完，我得接着去摆弄那些特殊的参数了，你们也加油哈！咱们回头聊！