攻击者如何把恶意流量“藏”进正常请求里？
大家好呀！今天想跟大家聊一个挺有意思、但也挺让人头疼的话题——文件包含流量隐藏，说实话，我第一次听到这个词的时候，脑子里也是一团雾水，啥叫“文件包含流量隐藏”？听起来好像是安全圈里的黑话对吧？别急，咱们慢慢聊,我保证你用最接地气的方式把它搞明白。
什么是文件包含？先打个底
咱们得先铺垫一下，文件包含，英文叫 File Inclusion，本来是个挺正常的编程功能，比如你用 PHP 写网站，经常会用到 include 或者 require 这样的函数，目的就是把别的文件拉进来一起执行，这样做的好处很明显——代码复用、结构清晰,谁不喜欢呢？
但是呢，世事难料啊！如果开发者没把用户输入过滤干净，攻击者就能通过操控这个“包含”的路径，让服务器去加载一些本来不该加载的文件，这就是所谓的文件包含漏洞（LFI/RFI），本地文件包含叫 LFI，远程文件包含叫 RFI，这俩兄弟在安全圈里那可是“大名鼎鼎”。
流量隐藏是个什么操作？
好，重点来了。流量隐藏这个词，听起来是不是有点特工电影的感觉？哈哈，其实它指的是攻击者想方设法让自己的恶意请求看起来像正常流量，从而绕过 WAF、IDS、防火墙这些安全设备的检测。
那文件包含和流量隐藏怎么就扯上关系了呢？哎,这就是精髓所在了！
攻击者在利用文件包含漏洞的时候，往往需要传递一些恶意参数，?file=../../etc/passwd 这种，但问题是，这种请求太明显了，稍微像样点的 WAF 一眼就能识别出来，所以攻击者就开始琢磨：能不能把这些恶意流量“藏”起来,让它看起来人畜无害？
文件包含流量隐藏这门“手艺”就诞生了。
常见的隐藏手法，我给你扒一扒
第一种，编码混淆。 攻击者会把恶意参数进行各种编码，URL 编码、Base64 编码、双重编码等等，你 WAF 不是要匹配关键词吗？那我就把关键词拆得七零八落，看你还怎么匹配！ 可以编码成 %2e%2e%2f，再变态一点还能搞成 %252e%252e%252f，哎呀,光是想想就替安全设备感到累。
第二种，参数污染。 有时候攻击者会传递多个同名参数，让服务器和 WAF 对参数的理解产生分歧，WAF 看到的是无害的那个，服务器执行的却是有害的那个，这种“障眼法”玩得那叫一个溜！
第三种，利用正常文件做跳板。 这个就更狡猾了，攻击者不直接包含敏感文件，而是先包含一个正常的、允许被包含的文件，然后通过这个文件间接去读取敏感内容，比如利用日志文件、session 文件、上传的图片等等，这样一来，流量看起来就像是在访问正常资源,隐蔽性极强。
第四种，分块传输和慢速攻击。 攻击者把恶意请求拆成很多小块，慢慢发送，让安全设备来不及拼装完整请求就放行了，这种手法配合文件包含漏洞使用,简直让人防不胜防。
为啥这事儿让人头疼？
说真的，每次看到这种攻击手法，我都忍不住感叹：这些攻击者的脑子要是用在正道上该多好啊！但现实就是现实,咱们得面对。
文件包含流量隐藏之所以难搞，主要是因为它模糊了正常和恶意的边界，你说一个请求访问 ?file=about.php，这看起来多正常啊，但谁知道背后是不是藏着一把刀呢？安全设备要是一刀切地拦截所有文件包含请求，那正常业务也得跟着遭殃，这种“宁可错杀一千不可放过一个”的做法,在实际场景中根本行不通。
而且啊，随着云原生、容器化技术的普及，文件包含的场景变得更多样了，以前可能就是 PHP 网站，现在呢？Node.js、Python、Java，各种语言各种框架都有可能存在类似的问题，攻击面变大了,隐藏手法也更多了。
那咱们该怎么防？
别慌，虽然这事儿挺棘手,但也不是完全没有办法。
输入验证是根本，不管攻击者怎么编码、怎么混淆，只要咱们在接收参数的时候就严格白名单校验，只允许合法的文件名，那大部分攻击就直接歇菜了，什么 、什么远程 URL,统统拒之门外！
最小权限原则，Web 应用运行的用户权限要尽可能低，别动不动就给 root，这样即便被文件包含了,攻击者能读到的东西也有限。
WAF 规则要持续更新，虽然流量隐藏手法层出不穷，但道高一尺魔高一丈嘛，安全厂商也在不断迭代检测规则，关键是要保持更新，别让 WAF 成了摆设。
日志和监控不能少，再隐蔽的攻击也会留下痕迹，只要我们细心观察，总能发现异常，比如某个参数突然出现了大量编码字符，或者某个 IP 频繁尝试不同的文件路径,这些都是危险信号啊！
写在最后
好啦，关于文件包含流量隐藏这个话题，今天就聊到这里，说实话，安全这行就是这样，攻击和防御永远在博弈，咱们能做的，就是不断学习、不断进步,让自己的系统越来越坚固。
如果你觉得这篇文章对你有帮助，欢迎分享给身边的朋友哦！也欢迎在评论区聊聊你的看法，你有没有遇到过类似的攻击场景？咱们一起交流交流！
安全无小事，细节定成败，咱们下篇文章再见啦！😊