PHP文件包含漏洞与编码转换攻击防御指南

1. PHP文件包含漏洞与编码转换攻击原理剖析

在PHP开发中，文件包含（Local File Inclusion, LFI）漏洞一直是Web安全领域的重点攻防场景。传统利用方式通常受限于目标文件内容的字符限制，而php://filter协议的编码转换特性为绕过这些限制提供了新的可能性。本文将深入解析如何通过多重编码转换构造特殊payload，实现在严格字符限制下的代码注入。

注意：本文所述技术仅限用于合法安全测试与防御研究，实际应用需获得系统所有者明确授权。

1.1 文件包含漏洞的本质

PHP的include、require等文件包含函数在设计上存在一个关键特性：它们并不检查被包含文件的扩展名，而是直接将其内容作为PHP代码解析。这意味着即使包含的是.txt、.log甚至图片文件，只要其中包含有效的PHP代码片段，这些代码就会被执行。

典型漏洞代码示例：

php复制<?php
$file = $_GET['file'];
include($file);
?>

这种未经过滤的直接包含用户输入，就是LFI漏洞的根源。攻击者可以通过控制$file参数来包含任意文件，包括系统敏感文件（如/etc/passwd）或上传的恶意文件。

1.2 php://filter协议的工作机制

php://filter是PHP提供的一个特殊流过滤器，它允许在读取文件时对内容进行多层编码转换。其核心语法结构为：

code复制php://filter/[filter1|filter2|...]/resource=[文件路径]

其中每个filter可以是：

• convert.base64-encode/decode：Base64编解码
• convert.iconv.A.B：字符集转换（A→B）
• string.rot13：ROT13编码
• zlib.deflate/inflate：压缩解压

这些过滤器可以串联使用，形成复杂的处理链。关键在于，PHP会在文件内容被include前应用所有这些转换，而最终输出的内容会被当作PHP代码解析。

2. 编码转换攻击的核心技术实现

2.1 攻击思路分解

假设目标系统对包含的文件内容有严格字符限制（如仅允许字母数字），传统的一句话木马`<?php eval($_GET[1])