文章总结： 本文详细解析文件包含漏洞原理与DVWA四层通关，从无过滤到白名单防护，重点介绍双写绕过、图片马组合利用等实战技巧，指出该漏洞在SRC中价值极高，可读取配置并配合上传获取权限，修复需采用白名单与路径过滤。 综合评分： 90 文章分类： 漏洞分析,WEB安全,红队,渗透测试,SRC活动
五、Impossible 级别（完美修复，无漏洞）
企业标准安全修复方案，写报告直接照搬：
- 采用文件名白名单，只允许预设的 home、about、contact 页面；
- 禁止用户可控参数直接传入 include 加载函数；
- 关闭 php 配置
allow_url_include，彻底禁用远程文件加载； - 对路径做标准化处理，自动清除
../、特殊截断字符； - 使用数字 ID 映射页面，完全隐藏文件路径参数。
六、真实 SRC 挖洞落地思路
线上网站看到这些参数直接测试文件包含：file=、page=、template=、mod=、load=测试顺序：先测本地文件读取，能读到数据库配置直接定级高危；搭配上传点组合利用，漏洞价值翻倍。 新闻模板站、后台管理系统、商城模板页面是重灾区。
七、可直接提交 SRC 高危漏洞报告
漏洞标题
站点页面加载接口存在文件包含漏洞，可读取服务器敏感配置并执行恶意代码
漏洞等级
高危
漏洞描述
目标站点页面加载接口 page 参数可控，未做白名单限制与路径字符过滤，存在本地 / 远程文件包含漏洞。攻击者可通过目录穿越 Payload 读取服务器系统文件、网站源码、数据库账号密码；若服务器开启远程包含配置，还能加载外网恶意脚本执行任意代码，配合文件上传功能可直接获取网站 webshell，服务器完全沦陷。
复现步骤
- 访问网站动态页面，确认 page 参数可自定义；
- 构造
../../../../etc/passwd目录穿越 Payload； - 提交请求，页面回显服务器系统文件内容；
- 搭配图片上传功能，上传图片马后通过文件包含执行木马，漏洞复现完成。
影响危害
- 泄露全站源码、数据库账号密码、后台管理路径；
- 读取服务器系统账号、密钥、核心配置文件；
- 远程加载恶意脚本执行代码，直接接管网站；
- 配合上传漏洞持久植入后门，渗透内网服务器。
修复建议
- 页面加载采用固定文件名白名单，禁止自定义路径；
- 全局过滤
../、%00、http/https等危险字符； - php 配置关闭
allow_url_include，禁用远程文件包含； - 使用数字 ID 映射页面，取消文件路径可控参数；
- 校验文件加载目录，强制限定站点根目录内访问。
八、新手学习忠告
- 文件包含是性价比极高的高危漏洞，挖到基本必高分收录；
- Medium 双写绕过、High 图片马组合利用是面试高频考点；
- 单独能读配置就是高危，搭配上传 GetShell 价值翻倍；
- 线上遇到带 page/file 参数的 php 站点，第一件事测目录穿越包含。
九、文末学习福利
如果你也是零基础、想参加CTF比赛但不知道从哪开始，可以点击文末阅读原文领取200节攻防教程，帮你少走弯路。后续我会持续更新网安实战、就业、副业相关干货，关注我，带你从零基础一步步靠网安变现。
下期预告
第 6 期｜文件上传漏洞（SRC 含金量天花板，直接上传木马控制全站）
DVWA #文件包含 #LFI #RFI #Web 安全 #SRC 挖洞 #漏洞复现 #网络安全入门
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：网络安全学习室 点击关注👉 点击关注👉《DVWA每日实操系列｜第5期 文件包含漏洞 四层手把手通关+SRC高危报告》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论