web - 如何测试和利用 LFI 漏洞

Question

在使用 LFISuite 等自动扫描程序测试 LFI 漏洞时，我正在寻找消除误报的方法。我们可以使用任何工具和技巧来测试端点中的 LFI 漏洞，例如：

我使用的方法论

首先尝试使用资产查找器和 gf-patterns 等工具找到可能存在潜在 LFI 漏洞的端点
其次，当文件被替换为 /etc/passwd 或类似的有效载荷时，使用 LFI 扫描仪（如 LFISuite 或 Burp Intruder）检查 http 响应代码 200。但即使 http 响应是 200，结果通常是一些代码被暴露，而不是根目录的内容，可用于获取 shell 或反向 shell。

寻找与上述不同的方法或工具来尝试查找 LFI 漏洞。任何关于 pdf、url、youtube 视频的指针都会有很大帮助。

谢谢

score 0 · Accepted Answer

我发现最好的方法是使用 FFUF。我运行它几秒钟，然后如果我得到很多无用的信息，我会看看它们的共同点。例如，它们都可能包含 485 个单词，或者一定数量的行，或者你有什么。然后我在我给出的那些示例中使用 --fw 或 --fl 来不打印出任何具有这些值的内容。

1 回答 1