远程文件包含Web安全应用与防护92课件讲解.pptxVIP

远程文件包含Web安全应用与防护

远程文件包含漏洞介绍无限制远程文件包含有限制远程文件包含

远程文件包含漏洞介绍远程文件包含漏洞（RFI，remotefileinclude），就是允许攻击者包含一个远程的文件,一般是在远程服务器上预先设置好的脚本。此漏洞是因为浏览器对用户的输入没有进行检查，导致不同程度的信息泄露、拒绝服务攻击甚至在目标服务器上执行代码。分为两种：1）无限制远程文件包含；2）有限制远程文件包含。

无限制远程文件包含无限制远程文件包含是指包含的文件的位置并不是在本地服务器，而是可以通过URL的形式，包含其他服务器上的文件，执行其他服务器中文件的恶意代码。漏洞利用条件：allow_url_fopen=on和allow_url_include=on。

有限制远程文件包含有限制远程文件包含漏洞是指代码中存在特定的前缀或者php、html等后缀，需要绕过前缀或者后缀，才能执行远程URL中的恶意代码。通常有限制远程文件包含绕过可通过问号、#号、空格三种方式来绕过。

总结远程文件包含漏洞（RFI，remotefileinclude）是一种常见的网络安全漏洞，允许攻击者包含一个远程的文件，通常是在远程服务器上预先设置好的脚本。远程文件包含漏洞可分为无限制远程文件包含和有限制远程文件包含两种。无限制远程文件包含漏洞的漏洞利用条件为allow_url_fope