大学课程《电力行业信息安全与攻防技术》教学PPT课件：[5.1.3]远程文件包含漏洞.pptxVIP

远程文件包含漏洞

远程文件包含漏洞（RFI）的攻防机制

任务导入任务目标任务讲解任务总结

远程文件包含在电力系统防护中，RFI如隐形大门，未验证输入，攻击者就可以加载远程恶意文件，执行代码。攻击差异不同于本地，RFI跨网络边界，实验今日展示此攻击场景还原。远程文件包含漏洞

任务导入任务目标任务讲解任务总结

任务目标知识目标能力目标素养目标掌握远程文件包含漏洞攻击中PHP配置参数的关键作用能够通过实验复现远程文件包含漏洞的攻击链培养电力系统安全防护的责任意识

任务导入任务目标任务讲解任务总结

RFI对比LFI本地文件包含漏洞(LFI)远程文件包含漏洞(RFI)本地文件包含漏洞发生在应用程序未正确验证和过滤用户提供的输入时，尝试包含本地系统上的文件。发生在应用程序试图包含来自远程服务器的文件时，攻击者可以通过构造恶意请求，使应用程序加载远程服务器上的文件，从而导致恶意代码的执行。

远程文件包含漏的前提：在php.ini中将allow_url_fopen和allow_url_include两个参数设置为On实验测试

实验测试实验环境的配置截图

实验测试靶场用的测试代码如下：?phpif(isset($_GET[submit])$_GET[filename]!=null){$filename=$_GET[filename];include$filename;}?htm