文件包含漏洞

目录

文件包含漏洞成因

为什么要包含文件？

如何利用这个漏洞？

本地包含

远程包含

文件包含漏洞的防御

---

文件包含漏洞成因

文件包含漏洞是代码注入的一种。其原理就是注入一段用户能控制的脚本或代码，并让服务器端执行，代码注入的典型代表就是文件包含File inclusion。文件包含可能会出现在jsp、php、asp等语言中。但是asp、jsp文件只能本地包含，而php既可以本地包含也可以远程包含。服务器通过函数去包含任意文件时，由于要包含的这个文件来源过滤不严，从而可以去包含一个恶意文件，而我们可以构造这个恶意文件来达到邪恶的目的。常见的文件包含的函数如下
PHP：include() 、include_once()、require()、require_once()、fopen()、readfile()
JSP/Servlet：ava.io.file()、java.io.filereader()
ASP：include file、include virtual

• Include：包含并运行指定文件，当包含外部文件发生错误时，系统给出警告，但整个php文件继续执行。
• Require：跟include唯一不同的是，当产生错误时候