PHP目录穿越漏洞的几种常见利用手法与防御措施

PHP目录穿越漏洞是Web应用安全中危害极大的漏洞之一，攻击者通过操控文件路径参数中的特殊字符（如../）突破根目录限制，实现未授权文件访问、敏感信息泄露甚至远程代码执行。该漏洞的根源在于开发者对用户输入的文件路径缺乏严格校验，直接将其传递给文件操作函数。据OWASP《Top 10 Web Application Security Risks》数据，路径遍历类漏洞在历次报告中均位列高风险类别，是导致数据泄露和服务器失陷的主要入口之一。

目录穿越漏洞的基本原理

目录穿越漏洞（Directory Traversal）的本质是攻击者利用文件路径中的相对路径符号（如../）跳出应用程序预期的基目录，访问系统任意文件。PHP中常见的易受攻击函数包括include()、require()、file_get_contents()、fopen()等。当开发者直接将用户输入拼接为文件路径而不做任何过滤时，攻击者可以通过构造../../../etc/passwd来读取系统文件。例如，以下代码存在明显的目录穿越漏洞：

<?php
$file = $_GET['file'];
include($file);
?>

攻击者只需访问http://example.com/index.php?file=../../../etc/passwd即可读取服务器上的passwd文件。这种漏洞的严重程度取决于文件操作权限：如果PHP进程以高权限运行，甚至可以读取整个文件系统。

常见的目录穿越利用手法

PHP目录穿越漏洞的利用手法主要包括文件读取、本地文件包含（LFI）、远程文件包含（RFI）以及通过日志注入实现命令执行。每种手法对应不同的攻击场景，对系统的危害程度也逐级递增。

文件读取与信息泄露

最直接的利用方式是读取敏感文件，如数据库配置文件、源码文件、系统日志等。攻击者通过遍历目录结构获取config.php、.env等文件中的数据库连接信息、API密钥，进而扩大攻击面。例如，读取../../config/database.php即可获取数据库凭据。

本地文件包含与远程文件包含

当PHP的allow_url_include选项开启时，攻击者可以直接包含远程文件执行任意代码。即使关闭该选项，本地文件包含（LFI）结合日志注入或文件上传漏洞，也能实现代码执行。典型的LFI攻击手法：通过包含/var/log/apache/access.log，在User-Agent中插入PHP代码，日志文件被包含后代码即被执行。以下是一个利用日志注入的示例：

curl -A "<?php system($_GET['cmd']); ?>" http://target.com/
curl "http://target.com/index.php?file=/var/log/apache/access.log&cmd=id"

注意：allow_url_include在PHP 5.2之后默认关闭，但LFI与日志注入的组合仍然普遍有效。

通过目录穿越实现命令执行

除了文件包含，目录穿越还可用于写入恶意文件。如果应用程序存在文件写入功能，且未过滤路径，攻击者可以写入../../shell.php到web目录，从而获得webshell。例如：

$filename = $_POST['filename'];
file_put_contents($filename, $_POST['content']);

攻击者Post filename=../../var/www/html/shell.php，即可在web根目录下创建恶意脚本。

目录穿越漏洞的防御措施

防御目录穿越漏洞的核心在于严格的输入验证、路径白名单过滤以及合理的服务器配置。开发者应遵循最小权限原则，从多个层面构建防线。下表对比了常见防御措施及其优缺点：

实际开发中，最推荐的做法是结合白名单和realpath()。例如，预先定义允许包含的文件列表，然后通过realpath()获取用户输入文件的真实路径，检查其是否在允许的基目录下。代码示例如下：

<?php
$allowed_dir = '/var/www/html/includes/';
$file = $_GET['file'];
$real_path = realpath($allowed_dir . $file);
if ($real_path !== false && strpos($real_path, $allowed_dir) === 0) {
    include($real_path);
} else {
    die('Invalid file');
}
?>

另外，配置open_basedir可以限制PHP进程只能访问指定目录，即使代码存在漏洞，也无法读取系统级文件。在php.ini中设置：

注意：open_basedir对include()和fopen()等函数有效，但无法阻止file_get_contents()的远程URL访问，需配合allow_url_include关闭。

实际案例分析：从文件读取到远程命令执行

一个典型的目录穿越漏洞利用链可以从简单的文件读取开始，逐步升级为远程命令执行。以某知名CMS为例，其文件包含功能未对路径做严格过滤，攻击者首先通过构造../../etc/passwd确认存在漏洞，接着尝试包含日志文件（如Apache访问日志），并在User-Agent中插入<?php system($_GET['cmd']);?>，最后通过日志包含执行系统命令。该攻击链利用了PHP目录穿越漏洞的多个阶段，最终实现完全控制服务器。据网络安全公司Sucuri的《Web应用安全报告》统计，类似的LFI漏洞在WordPress插件中占比超过15%，且多数因未对用户输入做路径规范化处理导致。

总结与最佳实践

防范目录穿越漏洞需要开发、运维和架构层面的协同。在代码层面，对用户输入的文件路径必须进行白名单校验或使用realpath()验证；在服务器配置层面，启用open_basedir并禁用allow_url_include；在架构层面，考虑将文件操作抽象为服务接口，避免直接暴露文件路径。PHP目录穿越漏洞的防御不能仅依赖单一措施，而应建立多层纵深防御体系。开发者应定期使用安全扫描工具（如RIPS、PHPStan）检测代码，并在上线前进行渗透测试。只有将安全理念贯穿开发全流程，才能从根本上杜绝此类漏洞。