文件包含漏洞

Posted 2023-04-16 wd404

1、定义

文件包含是一种常用编程技巧，即一个文件中可以包含引入其他文件，以方便代码的复用。

文件包含漏洞，是因为用户可以控制包含的文件路径，从而造成危害。

• 包含远程php文件，然后执行代码
• 包含本地文件，暴露信息，比如系统账号密码

2、利用过程

3、测试步骤

4、防护

(1)关闭远程文件机制

(2)尽量避免前端指定文件包含路径

(3)对前端输入进行白名单限制等手段

文件包含漏洞进阶篇

前言：

文件包含漏洞虽然在前面已经说过，但是感觉还不到火候。这次在度

深入了解。

目录：

本地文件包含漏洞的进阶

远程文件包含漏洞

正文：

 进入之后选择文件包含漏洞，如下图所示

 【图一】

进去一看，明显的文件包含漏洞。

 

尝试包含本地存在的phpinfo.php

使用file协议进行包含

使用php协议进行base64编码读取

windows特别多毛病

php输入

url编码

原来：/etc/passwd

编码之后：%2f..%2f..%2f..%2f..%2f..%2fetc%2fpasswd

利用php输入进行getshell

远程文件包含：

什么上马然后利用远程文件包含，然后菜刀连接我就不说了。