LFISuite完整攻击模块解析：从/proc/self/environ到expect://

LFISuite完整攻击模块解析：从/proc/self/environ到expect://

【免费下载链接】LFISuiteTotally Automatic LFI Exploiter (+ Reverse Shell) and Scanner项目地址: https://gitcode.com/gh_mirrors/lf/LFISuite

LFISuite是一款功能强大的本地文件包含（LFI）自动利用工具，集成了扫描器和反向shell功能，能够帮助安全测试人员快速检测和利用LFI漏洞。本文将深入解析LFISuite的核心攻击模块，从基础的文件读取到高级的命令执行，全面展示这款工具的强大能力。

初识LFISuite：功能与架构概览

LFISuite作为一款自动化LFI漏洞利用工具，其核心优势在于集成了多种攻击模块和智能化的漏洞检测机制。工具主程序lfisuite.py包含了从漏洞扫描到反向shell获取的完整工作流，配合socks.py提供的代理支持，能够适应各种复杂网络环境下的渗透测试需求。

LFISuite主界面展示了工具的核心功能模块与操作流程

工具的核心攻击模块通过run_*命名规范组织，主要包括：

• run_self_environ()：利用/proc/self/environ文件读取环境变量
• run_phpinfo()：通过phpinfo页面提取敏感信息
• run_phpfilter()：利用php://filter伪协议读取文件
• run_access_log()：日志注入攻击模块
• run_phpinput()：利用php://input执行命令
• run_data()：数据伪协议攻击模块
• run_expect()：expect伪协议命令执行
• run_self_fd()：文件描述符利用模块
• run_autoHack()：自动化攻击模块

基础文件读取模块：/proc/self/environ与self_fd

/proc/self/environ模块深度解析

run_self_environ()模块利用Linux系统的/proc/self/environ文件获取进程环境变量，这是LFI漏洞利用中最基础也最常用的技术之一。该模块通过构造特殊的URL请求，将环境变量中的敏感信息（如PHP配置、服务器路径等）泄露出来。

在实际测试中，当目标服务器存在LFI漏洞且未对/proc目录做限制时，此模块能快速获取关键信息。工具会自动处理URL编码和路径构造，用户只需提供目标URL和参数位置即可启动攻击。

self_fd文件描述符利用技术

run_self_fd()模块则采用了更高级的文件描述符利用技术。在某些情况下，直接访问敏感文件会被WAF拦截，而通过/proc/self/fd/{fd}形式访问已打开的文件描述符则可能绕过限制。

该模块通过分析错误页面信息（errPage参数）和响应内容，智能判断可用的文件描述符，并尝试读取对应的文件内容。这种方法特别适用于目标系统对常见敏感文件路径进行过滤的场景。

伪协议攻击矩阵：从php://filter到data://

php://filter文件读取详解

run_phpfilter()模块实现了对php://filter伪协议的利用，这是LFI漏洞中读取PHP文件源码的常用技术。通过结合convert.base64-encode过滤器，工具能够将目标PHP文件内容进行Base64编码后返回，避免PHP代码被服务器解析执行。

核心实现中，phpfilter_extract()函数负责从响应中提取并解码Base64内容，而base64_check()函数则验证解码结果的有效性，确保攻击成功。

data://伪协议命令执行

run_data()模块利用data://伪协议执行系统命令，支持多种编码方式（URL编码、Base64编码等）。工具提供了多个发送命令的函数：

• send_data_cmd_simple_nosl()：简单无分号命令发送
• send_data_cmd_simple_sl()：带分号命令发送
• send_data_cmd_b64_nosl()：Base64编码无分号命令
• send_data_cmd_b64_sl()：Base64编码带分号命令

这种灵活性使得data://模块能够适应不同的服务器配置和过滤规则，提高命令执行成功率。

高级命令执行：expect://与日志注入

expect://伪协议利用

run_expect()模块是LFISuite中最强大的命令执行模块之一，它利用expect://伪协议直接执行系统命令。该伪协议需要PHP安装expect扩展，在满足条件的目标系统上能实现高效的命令执行。

expect_reverse_shell()函数会自动构造反向shell命令，通过send_expect_cmd()函数发送到目标服务器，成功后建立交互式shell会话。这一模块在获取服务器控制权方面发挥着关键作用。

access_log日志注入攻击

run_access_log()模块采用了另一种经典的LFI攻击技术——日志注入。通过向服务器访问日志中注入PHP代码，再利用LFI漏洞包含日志文件，从而执行注入的代码。

工具实现了完整的日志注入工作流：

1. send_access_log_cmd()：向日志中注入命令
2. access_log_ext()：提取日志路径
3. access_log_while()：循环检查命令执行结果
4. 根据目标系统类型（Windows/Linux）调用相应的反向shell函数

这种方法的优势在于绕过大多数WAF规则，尤其适用于对伪协议进行严格限制的目标系统。

自动化攻击：Auto-Hack模块的智能利用

run_autoHack()模块体现了LFISuite的智能化特点，它能够自动尝试多种攻击向量，根据目标响应动态调整攻击策略。该模块会依次测试各个利用模块，并对成功的攻击路径进行深度利用，最终目标是获取反向shell。

自动化攻击流程极大降低了LFI漏洞利用的技术门槛，即使是新手用户也能通过简单操作完成复杂的渗透测试任务。Auto-Hack模块会优先尝试成功率高的攻击向量，并在发现有效路径后自动进行权限提升尝试。

实战应用：从漏洞扫描到反向shell

LFISuite不仅提供了丰富的攻击模块，还集成了scanner()函数实现漏洞扫描功能。用户可以先通过扫描模式检测目标是否存在LFI漏洞，再使用攻击模式进行深度利用。

完整的攻击流程通常包括：

1. 使用Scanner模块确认LFI漏洞存在
2. 选择合适的攻击模块（如phpinfo或/proc/self/environ）获取系统信息
3. 利用phpfilter或data模块读取敏感配置文件
4. 通过expect或日志注入模块执行命令
5. 建立反向shell（windows_reverse_shell()或generic_reverse_shell()）
6. 进行后续渗透测试

总结：LFISuite的优势与使用建议

LFISuite通过模块化设计实现了LFI漏洞的全流程利用，从信息收集到命令执行再到反向shell，每个环节都提供了多种技术选择。工具的主要优势包括：

• 多模块协同工作，覆盖LFI利用的各种场景
• 自动化程度高，降低操作复杂度
• 支持Windows和Linux双平台目标
• 内置代理支持，适应复杂网络环境
• 详细的响应分析和结果提取功能

使用LFISuite时，建议先通过基础模块获取目标系统信息，再根据实际情况选择高级攻击模块。对于防御严格的目标，可以尝试组合使用多种技术（如日志注入+文件描述符利用）提高成功率。同时，工具的输出结果应仔细分析，避免遗漏关键信息。

作为一款开源的LFI漏洞利用工具，LFISuite的代码结构清晰，功能模块划分合理，不仅是安全测试的实用工具，也是学习LFI漏洞利用技术的良好参考资料。通过深入研究lfisuite.py中的各个run_*函数实现，安全爱好者可以系统掌握LFI漏洞的各种利用方法和防御策略。

【免费下载链接】LFISuiteTotally Automatic LFI Exploiter (+ Reverse Shell) and Scanner项目地址: https://gitcode.com/gh_mirrors/lf/LFISuite