如何解决如何测试和利用LFI漏洞
我正在寻找在使用自动扫描仪测试LFI漏洞时消除误报的方法 例如LFISuite。我们可以用来测试端点中LFI漏洞的任何工具和提示：
https://example.com/profile?p=FUZZ
https://example.com/index.html?file=FUZZ
我使用的方法
- 首先尝试使用Assetfinder和gf模式等工具查找可能具有潜在LFI易感染性的端点 第二，然后使用LFI扫描仪（例如LFISuite或Burp Intruder）检查/ i / passwd或类似的有效载荷替换文件时的http响应代码200。 3.但是即使http响应为200，结果通常还是会暴露一些代码，而不是暴露可用于获取shell或反向shell的根目录内容。
寻找与上述方法不同的方法或工具来尝试查找LFI漏洞。任何有关pdf，url，youtube视频的指针都会有很大帮助。
谢谢
解决方法
我发现最好的方法是使用 FFUF。我运行它几秒钟，然后如果我得到很多无用的信息，我会查看它们中的共同点。例如，它们都可能包含 485 个单词，或者一定数量的行或者你有什么。然后我在我给出的那些示例中使用 --fw 或 --fl 来不打印任何具有这些值的内容。
一个了解 FUFF 复杂性的好网站是：https://codingo.io/tools/ffuf/bounty/2020/09/17/everything-you-need-to-know-about-ffuf.html
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。