Commit 1bab3c4

导入项目，可以得到以下目录：

项目是一个为了体现文件包含而特地写的一些功能，比如从本地引入文件、从远程引入文件等，此外，还有 Springboot+thymeleaf 的文件包含测试项目。

当我们令`file`的参数值为`data.txt`时，可以得到该文件的内容，如下图所示：

但是这里有个问题，就是这里包含的路径实际上只能是该 web 路径下的文件，并且该文件的类型只能是文本类型，如`jsp`、`txt`等，不支持图片等类型的文件。

当尝试访问一个图片资源的时候，就会报错：

并且不支持解析.java 文件（原理上面已说过）：

其次再来看看远程包含：

远程包含不但可以包含远程文件，同时可以包含本地文件，如下：

包括图片资源（不解析图片，但是有图片的数据）：

解析远程文件：

深入利用，首先在 XSS 平台生成一个利用的 xss payload，然后在远程创建一个 html 页面，这个 html 里面镶嵌了这个 xss js，然后利用包含漏洞远程访问：

成功获取到了 cookie

除此之外，还可以利用 file、netdoc 协议来实现任意文件读取的目的：

那么 java 文件包含漏洞做到的仅仅如此而已吗？

答案是否定的，在前文中我提到 `<c:import>` 的 url 属性值可以使用 `java.net.URL`类所支持的任何协议，因此 jar 协议也自然在其中，对 jar 协议的利用，通常是在 XXE 漏洞中，实际上在 java 的文件包含漏洞中也可以利用。

利用方式和`K0rz3n`师傅提到的[利用 jar 上传文件](https://xz.aliyun.com/t/3357)大差不差，同样是利用临时文件，然后报错获取临时文件的路径，由于时间关系，我这里只是做了个简单的测试：

可以看到临时文件确实存在于目录下，只不过由于是临时的，所以很快自动删除了，只要使用某种技巧（`K0rz3n`师傅提到），就能够使得文件长时间存在于目标服务器中，但是如何利用上传的文件，也是一个问题，这里我也没深入思考其利用方式，有兴趣的朋友可以思考一番

这是 SpringBoot 项目中某个控制器的部分代码片段，thymeleaf 的目录如下：

因此从代码逻辑中基本上可以判断，这实际上是一个语言界面选择的功能，如果是中文阅读习惯者，那么会令`language`参数为`cn`，如果是英文阅读习惯者，那么会令`language`参数为`en`，代码逻辑本身实际上是没有什么问题的，但是这里采用的是 thymeleaf 模板，就出现了问题。

在springboot + thymeleaf 中，如果视图名可控，就会导致漏洞的产生。其主要原因就是在控制器中执行 return 后，Spring 会自动调度 Thymeleaf 引擎寻找并渲染模板，在寻找的过程中，会将传入的参数当成SpEL表达式执行，从而导致了远程代码执行漏洞。这里不主要分析 Thymeleaf 模板注入漏洞的原理，所以简单说下其渲染的流程：

- createView() 根据视图名创建对应的View

- renderFragment() 根据视图名解析模板名称

所以可以跟进`renderFragment()`来看看如何解析模板名称的：

所以我们直接令`language`参数的值为一个我们指定的SpEL表达式，就可以实现 RCE：

那么如果我们假设存在一个可以上传非 jsp 类型文件的漏洞，并且上传的位置可控，控制器的逻辑如下：

访问即可达到PHP 中的文件包含效果：

这种情况，在实际情况下我遇到过，只不过非 jsp文件 类型的任意位置的文件上传漏洞比较少见，可能遇到这种情况的人比较少，所以也不具有代表性。

所以在这里，如果存在一个模板文件中的参数可控，即：

并且控制器中的逻辑为：

同样可以实现 RCE 效果：

这里介绍的仅仅是原理是类似于文件包含的 thymeleaf 漏洞，实际上这类的漏洞有专门的名称——SSTI（模板注入漏洞）

在上文中我们提到，`createView()`方法的作用是根据视图名创建对应的`View`，实际上 在该方法中，Thymeleaf 对`redirect:`和`forward:`有特殊处理：

跟进RedirectView这个重定向类，然后可以发现：

简单来说这里的逻辑会根据填写的返回值来判断是重定向（`redirect:`）还是请求转发（`forward:`），然后调用原生的Servlet的重定向或者请求转发方法，从而就不会进入执行SpEL表达式的流程，也就不会产生所谓的漏洞了。