包含一般也就分為LFI、RFI，即local file inclusion和remote file inclusion

LFI

對于LFI的話，因?yàn)楹芏喽枷拗屏税暮缶Y結(jié)尾必須為.php，Include ($a.'.php')例如這種的。
所以我們想包含我們的圖片馬兒的話，那么就需要截斷后面的這.php

1. 00截斷。需要gpc off && php<5.3.4

2. 長文件名截斷。反正這個我很少成功。

3. 轉(zhuǎn)換字符集造成的截斷。這個對包含的話基本用不上。

還有一些cms限制包含的后綴必須為.php，例如下面一段簡單的代碼

$include_file=$_GET[include_file]; if ( isset(?$include_file )?&& strtolower( substr(?$include_file,?-4 )?)?==?".php"?) ????????{???? ??????????????? require(?$include_file ); ????????}

對傳遞過來的截取了后面4個字符，然后判斷是不是“.php”，如果是“.php”才進(jìn)行包含。
這里可以用zip(或者phar)協(xié)議嘛(當(dāng)然這個也是找laterain學(xué)的，哈哈)。

首先新建一個1.php，里面隨便寫個phpinfo吧，
然后壓縮成.zip，接著把zip的名字改成 yu.jpg。
然后把這個.jpg上傳上去?然后包含:?

對于一些LFI找不到上傳圖片的地方的話，也有很多牛發(fā)過了一些不能上傳圖片LFI的技巧，各種包含日志、環(huán)境變量啥的，這里我就也不多說了。

RFI

下面再來說RFI。

如果能RFI的話，那么就是最方便的了。包含遠(yuǎn)程文件，或者又是php://input data啥的，各種偽協(xié)議。

但是也都知道RFI最大的限制條件就是需要allow_url_include on且“變量前未定義路徑”或者“常量”。
而Allow_url_include默認(rèn)都是off，那么無論是allow_url_include on 還是“變量前無路徑”或者“常量”，那都是RFI的硬傷。

這里介紹一種在allow_url_include off的情況下也能rfi的技巧，但是成功率也并不太高。

首先在php.ini里看一下allow_url_include：

; Whether to allow include/require to open URLs (like https:// or ftp://) as files. allow_url_include = Off

翻譯過來就是，允許包含url，例如https://、ftp://之類的協(xié)議。當(dāng)off的時候肯定就是不允許去包含這樣的協(xié)議。

這里我們先來測試一下:

<?php include($_GET[yu]);?

首先 allow_url_include && allow_url_fopen 都為on的時候

成功RFI。

然后 allow_url_include 為 on，allow_url_fopen 為off

直接包含遠(yuǎn)程文件失敗。這時候我們用一下偽協(xié)議試試。

再次成功rfi。

當(dāng)allow_url_include && allow_url_fopen 為off的時候。

偽協(xié)議失敗。

而包含文件的方式：

URL file-access is disabled in the server configuration，說明也不允許包含。

然而，肯定還有不少人記得很久以前的那個星外無可執(zhí)行目錄的時候，利用遠(yuǎn)程調(diào)用cmd繼續(xù)提權(quán)。
那個利用的是共享文件，然后在星外主機(jī)上來執(zhí)行。
那么這里我們也試試：

包含共享文件成功！這里只本地測試了，沒具體測試遠(yuǎn)程。
但是由于445的原因?可能基本都失敗。