文件包含漏洞的审计

一、文件包含漏洞的审计



考虑绕过，包含一个特殊的文件，构造一个压缩包

上传一个特殊文件

时间戳信息

几次尝试之后找到路径

用伪协议打开 伪图片的压缩包去读取内部的inc文件
回到网页去访问它
测试是否包含一句话脚本

成功的输出一句话脚本信息

如何去修复它，定义一个模块的信息

用array判断包含的信息

是否在这个里面，是的话就包含，不是的话就不包含

二、审计思路展现