什麼是本地文件包含 (LFI) 漏洞？

當應用程序接受來自用戶輸入的文件名或路徑，然後在沒有足夠清理或訪問控制的情況下從本地文件系統加載該文件時，就會發生本地文件包含漏洞。在基於 PHP 的系統（包括 WordPress）中，LFI 可能允許攻擊者：

• 讀取敏感文件（例如： 9. 或使用使會話失效的插件。在可行的情況下強制執行雙因素身份驗證。, ，備份文件，, .env 文件，日誌文件）。.
• 暴露憑證（數據庫用戶名/密碼、鹽和密鑰、API 密鑰）。.
• 當與日誌中毒或可寫文件上傳和 PHP 流包裝器結合時，鏈接到遠程代碼執行 (RCE) 。, php://filter, php://input).

由於 WordPress 網站通常包含存儲數據庫憑證和秘密密鑰的文件，因此主題或插件中的 LFI 特別危險。未經身份驗證的攻擊者可能會潛在地竊取秘密並升級為完全控制網站。.

為什麼這個特定漏洞很重要

• 受影響的軟件：智能 SEO 主題（版本 <= 2.9）。.
• 漏洞：本地文件包含 (LFI)。.
• CVE：CVE-2026-28117。.
• 權限：未經身份驗證 — 不需要有效的 WordPress 帳戶。.
• 嚴重性：高 (CVSS 8.1)。.
• 狀態：目前沒有官方修補程序可用（在此建議時）。.

由於該漏洞不需要身份驗證並允許任意文件包含，自動利用和廣泛掃描的可能性很高。攻擊者經常針對廣泛分發的主題。.

典型攻擊者場景和影響

1. 信息洩露（初始影響）
   • 攻擊者讀取 9. 或使用使會話失效的插件。在可行的情況下強制執行雙因素身份驗證。 以獲取數據庫憑證和身份驗證鹽。.
   • 攻擊者讀取備份文件，, .env 文件或任何其他包含秘密的配置文件。.
   • 擁有數據庫憑證後，攻擊者可以讀取或修改網站數據，創建管理員用戶，或導出用戶密碼哈希。.
2. 完全網站妥協（鏈接到 RCE）
   • LFI → 日誌中毒：攻擊者將 PHP 代碼寫入日誌（用戶代理、請求有效負載），並通過 LFI 包含該日誌文件以執行代碼。.
   • LFI → 文件上傳：如果上傳可寫且未正確保護，可能會隨之發生間接代碼執行。.
   • LFI → 讀取 SSH 私鑰或其他憑證可能允許橫向移動或訪問備份。.
3. 持久後門和惡意軟件
   • 在獲得憑證或 RCE 後，攻擊者通常會安裝持久後門，創建計劃任務，或注入 SEO 垃圾郵件、惡意重定向和釣魚內容。.

由於這些攻擊鏈是現實的，請將任何 LFI 視為緊急情況。.

漏洞通常是如何被利用的（高層次，無利用代碼）

當開發者在文件操作中使用用戶控制的輸入時，會產生 LFI，例如 包含, 需要, fopen, ，或 file_get_contents 而沒有足夠的驗證。例如，一個根據 GET 或 POST 參數加載模板並直接包含用戶提供的路徑的主題是脆弱的。.

典型的利用流程（概念性）：

1. 攻擊者構造一個請求，試圖包含一個敏感文件（例如使用路徑遍歷： ../../wp-config.php).
2. 應用程序使用提供的路徑並將文件內容返回到響應中（因此返回給攻擊者）。.
3. 攻擊者檢查返回的內容以尋找秘密；擁有數據庫憑證後，進一步妥協變得可行。.

重要提示：本建議避免發布利用字符串或 PoC 代碼；重點在於檢測和緩解。.

如何檢測企圖利用

監控網頁伺服器的訪問/錯誤日誌和 WordPress 日誌，以查找可疑請求。指標包括：

• 參數中包含路徑遍歷序列 (../, ..%2f, %2e%2e%2f) 的請求，這些參數被主題使用。.
• 包含檔案名稱的參數，如 9. 或使用使會話失效的插件。在可行的情況下強制執行雙因素身份驗證。, .env, .htpasswd, id_rsa, ，或其他已知的敏感檔案名稱。.
• 包含 PHP 流包裝器名稱的請求 (php://, data://, expect://)，或使用 base64 過濾器 (php://filter).
• 不尋常的用戶代理字串或重複的掃描模式，針對特定主題的端點或檔案名稱參數。.
• 對於引用本地檔案的請求，200 響應的突然激增，或不規則的輸出（原始檔案內容）。.

在您的監控堆疊中設置自動檢測規則，以警報這些行為。.

要尋找的示例日誌模式（概念性，而非利用模板）：

• GET /?template=../../wp-config.php
• POST /wp-content/themes/smartseo/?file=../wp-config.php
• 任何請求，其中主題參數包含 %2e%2e 或 php://filter

立即緩解措施（現在該怎麼做）

如果您的網站使用 smart SEO 主題（≤ 2.9），請立即採取行動。按照給定的順序優先考慮以下行動。.

1. 將網站設置為維護模式（如果可行）

   在評估期間防止進一步的自動掃描和利用。.

2. 停用或移除易受攻擊的主題

   切換到安全的預設主題（例如，Twenty Twenty 系列或其他已知安全的主題）。如果您無法立即切換，請移除或重新命名易受攻擊的主題資料夾（例如重新命名 wp-content/themes/smartseo 到 smartseo-disabled）以防止主題的程式碼載入。.

3. 立即應用虛擬補丁（WAF 規則）

   部署阻止以下內容的規則：

   • 在主題使用的參數中包含路徑遍歷序列的請求。.
   • 嘗試包含已知敏感檔名（9. 或使用使會話失效的插件。在可行的情況下強制執行雙因素身份驗證。, .env, ，等等）。.
   • 在參數中使用 PHP 流包裝器（php://, data://, expect://).

   注意：虛擬補丁（通過 WAF 或反向代理）在您修補或替換易受攻擊的程式碼時，在邊緣停止攻擊嘗試。如果您尚未使用管理的 WAF，請考慮從您的主機或安全提供商獲取緊急規則集——不要延遲。.

4. 通過伺服器配置限制對敏感檔案的訪問

   拒絕訪問 9. 或使用使會話失效的插件。在可行的情況下強制執行雙因素身份驗證。 和其他配置檔案在網頁伺服器層級（.htaccess 用於 Apache，nginx 配置）。.

   <Files wp-config.php>
     order allow,deny
     deny from all
   </Files>
   
   <FilesMatch "\.(env|ini|log|sh|bak|sql)$">
     Require all denied
   </FilesMatch>
           

   對於 nginx，添加適當的 位置 區塊以返回 403 針對這些檔案。.

5. 加強 PHP 檔案系統訪問規則

   如果可行，請在 PHP 配置層級禁用危險的 PHP 包裝器或函數（小心處理）。確保 open_basedir 限制設置適當，以限制 PHP 檔案訪問到預期的目錄。.

6. 如果懷疑帳戶被入侵，請立即更改憑證

   如果發現任何外洩的秘密或文件讀取的證據，請更換您的資料庫憑證、WordPress 鹽值以及任何洩漏的 API 金鑰。撤銷並重新生成可能已暴露的任何令牌或金鑰。.

7. 執行全面的惡意軟件掃描和完整性檢查

   掃描您的網站以尋找惡意軟體/後門的跡象。查找最近修改的文件、不明的 PHP 文件、計劃任務（cron）和不明的管理用戶。.

8. 審計日誌以檢查可疑活動

   匯出訪問和錯誤日誌，並尋找上述所述的可疑請求；識別可能成功的利用和時間線。.

9. 如有必要，從乾淨的備份中恢復

   如果發現超出簡單數據暴露的入侵跡象（惡意軟體或持久後門），請從最近的乾淨備份中恢復，然後在重新啟用網站之前更新憑證和加固措施。.

管理保護和虛擬修補如何提供幫助

當官方修補尚未可用時，分層防禦有助於保護。管理保護（WAF、反向代理、CDN 安全功能）和虛擬修補通過在邊緣阻止利用模式來提供立即的風險降低。典型的能力包括：

• WAF 規則檢測並阻止路徑遍歷嘗試、可疑的流包裝器和訪問已知敏感文件名的嘗試。.
• 虛擬修補：快速響應的規則集，在您應用代碼級修補時阻止攻擊模式。.
• 惡意軟體掃描和計劃的完整性檢查，以檢測修改或新添加的文件。.
• 事件日誌和警報 — 對被阻止的 LFI 嘗試立即通知，以便管理員可以進行分類和響應。.
• 來自合格安全團隊或您的託管提供商的安全代碼和伺服器加固指導。.

部署這些保護是一種有效的短期策略：它們自動阻止機會性利用，讓您有時間修補、更換或移除易受攻擊的代碼。.

實用的 WAF 規則策略（概念性）

減輕 LFI 嘗試的示例規則策略：

• 阻止包含路徑遍歷標記的參數值： ../, ..%2f, %2e%2e%2f.
• 阻止包含 9. 或使用使會話失效的插件。在可行的情況下強制執行雙因素身份驗證。, .env, id_rsa, config.php 的參數，當請求路徑不是經過身份驗證的管理文件時。.
• 阻止使用的請求 php:// 或 data:// 參數中的包裝器。.
• 阻止可疑組合：路徑遍歷 + 敏感文件擴展名 (.php, .sql, .conf, .env).
• 對於在多個主機上顯示掃描行為的 IP 進行速率限制或黑名單處理。.
• 儘可能使用正面白名單：如果主題僅接受少量模板名稱，則僅允許這些值。.

應用這些保護措施可以在不更改網站代碼的情況下立即減輕風險。.

開發者指導 — 安全處理文件包含

如果您維護或開發主題/插件，請遵循這些最佳實踐以防止 LFI：

1. 絕不要直接包含用戶控制的輸入。. 避免類似以下的代碼 include($_GET['page']) 或 require_once($_REQUEST['file']).
2. 使用基於白名單的驗證。. 僅接受一小組已知的模板名稱或文件。將這些名稱映射到伺服器上的實際路徑。.

<?php
    

3. 如果動態文件路徑無法避免，請進行清理和驗證。. 使用 basename() 並使用以下進行驗證 realpath() 以確保解析的路徑在允許的目錄內。.

<?php
    

4. 避免向公共響應暴露原始文件內容。. 如果必須讀取文件，請應用嚴格的訪問檢查，並且不要回顯原始文件內容。.
5. 遵循最小權限原則來設置文件權限。. 模板應該是可讀的，但不應該是全域可寫的。. 9. 或使用使會話失效的插件。在可行的情況下強制執行雙因素身份驗證。 應該是最小權限（例如，640），並在適當的情況下由網頁伺服器用戶擁有。.

這些編碼模式防止基於字串的技巧，如路徑遍歷和包裝濫用。.

伺服器和 WordPress 強化檢查清單

• 限制訪問 9. 或使用使會話失效的插件。在可行的情況下強制執行雙因素身份驗證。 通過網頁伺服器規則。.
• 禁用目錄列表。.
• 確保檔案權限正確：主題/插件可讀，檔案不可全域可寫。.
• 在中禁用 PHP 執行 wp-content/uploads （通過 .htaccess 或 nginx 規則阻止執行）。.
• 設定 open_basedir 如果可能，限制 PHP 只在預期的目錄中。.
• 在中使用安全的鹽和金鑰 9. 或使用使會話失效的插件。在可行的情況下強制執行雙因素身份驗證。; 如果懷疑被入侵，重新生成它們。.
• 在中禁用主題和插件檔案編輯器 9. 或使用使會話失效的插件。在可行的情況下強制執行雙因素身份驗證。: define('DISALLOW_FILE_EDIT', true);
• 只有在知道什麼是安全的情況下才限制 PHP 函數（要小心；網站功能可能會中斷）。.
• 保持 WordPress 核心、插件和主題的最新。如果為智能 SEO 主題發布官方修補程式，請在測試後應用它。.

事件響應 — 如果您被利用該怎麼辦

1. 隔離 — 將網站下線或放入維護模式；如果在共享基礎設施上托管，則與其他系統隔離。.
2. 收集證據 — 保存訪問日誌、錯誤日誌、數據庫轉儲和檔案系統快照以進行取證分析。.
3. 旋轉密鑰 — 更改數據庫密碼、WordPress 管理員密碼、API 金鑰以及存儲在網站或附近服務上的任何其他憑證。.
4. 掃描和清理 — 執行全面的惡意軟體掃描。刪除或替換任何後門或未知檔案。驗證用戶帳戶 — 刪除不明的管理用戶。.
5. 從乾淨的備份恢復 — 如果完整性不確定，從早於入侵的備份中恢復。恢復後，在網站上線之前加強和更換憑證。.
6. 審計和監控 — 清理後，啟用持續監控和更嚴格的邊緣保護。追蹤再感染的跡象。.
7. 通知利益相關者 — 根據您的事件響應政策或法律/監管義務，通知客戶、用戶或顧客。.

長期預防和監控

• 實施邊緣保護（管理的 WAF / 反向代理），使用虛擬修補和簽名更新來防止已知和未知的 LFI 攻擊嘗試。.
• 定期進行安全審計和代碼審查，特別是對於不經常維護的自定義主題或第三方主題。.
• 安排自動完整性檢查和文件監控，以快速檢測修改。.
• 在異地位置維護安全、經過測試的備份，並定期驗證恢復程序。.
• 對於更新使用分階段部署過程：在生產之前先在測試環境中測試。.

管理員的實用檢測清單

• 在日誌中搜索包含的請求： ../, %2e%2e, 9. 或使用使會話失效的插件。在可行的情況下強制執行雙因素身份驗證。, .env, php://.
• 監控對看起來像文件讀取的 GET/POST 請求的重複 200 響應。.
• 檢查主題、插件或 wp-content 目錄中是否有新的或修改過的 PHP 文件。.
• 驗證關鍵文件的修改時間（9. 或使用使會話失效的插件。在可行的情況下強制執行雙因素身份驗證。, .htaccess, index.php).
• 確保所有管理帳戶都是已知的，並且不存在未經授權的管理員。.

常見問題

問：LFI 是否會導致完整的伺服器接管？

答：是的 — 如果攻擊者能夠檢索憑證（例如，來自 9. 或使用使會話失效的插件。在可行的情況下強制執行雙因素身份驗證。）或將 LFI 鏈接到遠程代碼執行（例如，通過將 PHP 注入日誌），他們可以升級到完全的網站妥協。.

問：如果我用 .htaccess 阻止主題文件夾，這樣安全嗎？

答：阻止對主題 PHP 文件的直接訪問可以降低風險，但這不能替代刪除或修補易受攻擊的代碼。一些主題功能可能會中斷。最安全的短期行動是停用該主題。.

問：即使我沒有找到利用的證據，我是否應該更換數據庫憑證？

A: 如果您發現對您的網站的 LFI 嘗試的證據，建議更換憑證作為預防措施，特別是因為攻擊者可能已經靜默訪問了文件。.

站點擁有者的立即選項

如果您需要快速降低風險並且無法立即修補主題，請考慮以下行動：

• 將網站置於維護模式，並刪除或重新命名易受攻擊的主題目錄。.
• 向您的託管提供商請求緊急 WAF 規則或邊緣過濾器，以阻止路徑遍歷和已知的敏感文件名。.
• 聘請合格的事件響應或安全顧問進行分流、部署虛擬補丁並進行取證審查。.
• 更換憑證並執行徹底的文件完整性和惡意軟件掃描。.

不要僅僅依賴希望網站不會成為目標——自動掃描器會迅速搜索這類漏洞。.