網(wǎng)站建設(shè)定制網(wǎng)站文件包含漏洞分類
- 編輯：admin -文件包含漏洞一旦被互聯(lián)網(wǎng)黑客進(jìn)行惡意利用，不僅會(huì)暴露Web應(yīng)用的配置文件，也會(huì)暴露自身的源代碼，為黑客進(jìn)一步發(fā)掘Web應(yīng)用漏洞提供條件，最終導(dǎo)致黑客控制整個(gè)網(wǎng)站甚至服務(wù)器。
網(wǎng)站文件包含漏洞分類。文件包含，包括本地文件包含和遠(yuǎn)程文件包含兩種形式，下面對(duì)這兩種形式進(jìn)行介紹。
第一，本地文件包含漏洞（Local File Include，本地文件包含故名包含的文件在本地服務(wù)器），它是PHP中一種較為典型的高危漏洞。本地文件包含就是通過(guò)瀏覽器包含Web服務(wù)器上的文件，當(dāng)瀏覽器包含文件沒(méi)有進(jìn)行嚴(yán)格的過(guò)濾時(shí)，允許遍歷目錄的字符注入瀏覽器并執(zhí)行，由于技術(shù)人員未對(duì)用戶輸入的內(nèi)容進(jìn)行有效過(guò)濾與檢查，導(dǎo)致惡意用戶可以控制被包含的文件，一旦成功，Web應(yīng)用服務(wù)器將一些特定文件當(dāng)成php執(zhí)行，從而導(dǎo)致惡意用戶可獲取一定的服務(wù)器權(quán)限。
第二，遠(yuǎn)程文件包含漏洞（Remote File Inclusion，遠(yuǎn)程文件包含故名包含的文件不在本地服務(wù)器，而需要遠(yuǎn)程訪問(wèn)其他服務(wù)器）。它其實(shí)也屬于“代碼注入”的一種，其原理就是注入一段用戶能控制的腳本或代碼，由于瀏覽器對(duì)于用戶輸入沒(méi)有進(jìn)行有效的過(guò)濾與檢查，導(dǎo)致其在服務(wù)端執(zhí)行惡意文件的代碼。該漏洞利用的前提是PHP開(kāi)啟了遠(yuǎn)程包含功能，且被包含的變量前沒(méi)有目錄的限制。文件包含漏洞一旦被互聯(lián)網(wǎng)黑客進(jìn)行惡意利用，不僅會(huì)暴露Web應(yīng)用的配置文件，也會(huì)暴露自身的源代碼，為黑客進(jìn)一步發(fā)掘Web應(yīng)用漏洞提供條件，最終導(dǎo)致黑客控制整個(gè)網(wǎng)站甚至服務(wù)器。