文件包含漏洞之本地包含和远程包含 - 行业资讯 - 肥雀云

文件包含漏洞介绍:

,,程序开发人员一般会把重复使用的函数写到单个文件中,需要使用某个函数时直接调用此文件,而无需再次编写,这中文件调用的过程一般被称为文件包含。程序开发人员一般希望代码更灵活,所以将被包含的文件设置为变量,用来进行动态调用,但正是由于这种灵活性,从而导致客户端可以调用一个恶意文件,造成文件包含漏洞。几乎所有脚本语言都会提供文件包含的功能,但文件包含漏洞在PHP中居多,而在JSP、ASP、ASP。净程序中却非常少,甚至没有,这是有些语言设计的弊端。在PHP中经常出现包含漏洞,但这并不意味这其他语言不存在。

漏洞成因:

,,文件包含漏洞的产生原因是在通过引入文件时,引用的文件名,用户可控,由于传入的文件名没有经过合理的校验,或者校验被绕过,从而操作了预想之外的文件,就　　可能导致意外的文件泄露甚至恶意的代码注入。当被包含的文件在服务器本地时,就形成的本地文件包含漏洞,被包涵的文件在第三方服务是,就形成了远程文件包含漏洞。

漏洞危害:

,,,,执行恶意代码,包含恶意文件控制网站,甚至控制网站服务器等。

<人力资源/>

本地包含漏洞:

代码:

& lt; php ? 　　　　$ file=@ $ _GET[& # 39;名字# 39;]; 　　　　如果文件(美元){ 　　include $文件; 　　} 　　　　祝辞;

,,,,

以以上这个代码为例:

访问:http://127.0.0.1/fileupload/include.php?name=1。txt

<李>

txt文件代码为:

& lt; php ? 　　　　phpinfo (); 　　　　祝辞;