文件包含漏洞原理以及修复方法

漏洞名称:文件include漏洞、文件包含

漏洞描述 :文件包含是指程序代码在处理包含文件的时候没有严格控制。导致用户可以构造参数包含远程代码在服务器上执行,并得到网站配置或者敏感文件,进而获取到服务器权限,造成网站被恶意删除,用户和交易数据被篡改等一系列恶性后果。主要包括本地文件包含和远程文件包含两种形式,由于开发人员编写源码,开放着将可重复使用的代码插入到单个的文件中,并在需要的时候将它们包含在特殊的功能代码文件中,然后包含文件中的代码会被解释执行。由于并没有针对代码中存在文件包含的函数入口做过滤,导致客户端可以提交恶意构造语句提交,并交由服务器端解释执行。文件包含攻击中WEB服务器源码里可能存在inlcude()此类文件包含操作函数,可以通过客户

端构造提交文件路径,是该漏洞攻击成功的最主要原因。

检测条件

1、 Web应采用include()等文件包含函数通过动态变量的方式引入需要包含的文件.

2、 用户能够控制该动态变量

检测方法

1、 常见的文件包含漏洞,出现在以PHP语言开发的网站中,例如以下代码采用了指定用户的名称,并将该名称包含在要呈现的 PHP 页面中:

<?php

include($_GET['name']);

?>

修复方案:

1、 PHP:配置php.ini关闭远程文件包含功能(allow_url_include = Off)

2、 严格检查变量是否已经初始化。

3、 建议假定所有输入都是可疑的,尝试对所有输入提交可能可能包含的文件地址,包括服务器本地文件及远程文件,进行严格的检查,参数中不允许出现../之类的目录跳转符。

4、 严格检查include类的文件包含函数中的参数是否外界可控。

5、 不要仅仅在客户端做数据的验证与过滤,关键的过滤步骤在服务端进行。

6、 在发布应用程序之前测试所有已知的威胁

相关推荐
qq_479875436 分钟前
Connector
网络
乌托邦的逃亡者18 分钟前
Linux系统中配置history命令显示时间、IP、账号和操作命令
linux·运维·安全
smart19981 小时前
电脑备份、服务器备份、云备份、Veeam备份,选哪种存储设备?
网络·科技·电脑
liulilittle1 小时前
LwIP协议栈MPA多进程架构
服务器·开发语言·网络·c++·架构·lwip·通信
摘星编程2 小时前
深入浅出 Tokio 源码:掌握 Rust 异步编程的底层逻辑
网络·算法·rust·系统编程·tokio
天降大任女士2 小时前
网络基础知识简易急速理解---OSPF开放式最短路径优先协议
网络
王道长服务器 | 亚马逊云2 小时前
AWS Systems Manager:批量服务器管理的隐藏利器
linux·网络·云计算·智能路由器·aws
Fang_pi_dai_zhi3 小时前
对TCP/IP协议的理解
网络·网络协议·tcp/ip
初学小白...3 小时前
UDP多线程在线咨询
网络·网络协议·udp
运维行者_3 小时前
DDI 与 OpManager 集成对企业 IT 架构的全维度优化
运维·网络·数据库·华为·架构·1024程序员节·snmp监控