如何测试和利用LFI漏洞

问题描述

我正在寻找在使用自动扫描仪测试LFI漏洞时消除误报的方法 例如LFISuite。我们可以用来测试端点中LFI漏洞的任何工具和提示：

https://example.com/profile?p=FUZZ

https://example.com/index.html?file=FUZZ

我使用的方法

1. 首先尝试使用Assetfinder和gf模式等工具查找可能具有潜在LFI易感染性的端点
第二，然后使用LFI扫描仪（例如LFISuite或Burp Intruder）检查/ i / passwd或类似的有效载荷替换文件时的http响应代码200。 3.但是即使http响应为200，结果通常还是会暴露一些代码，而不是暴露可用于获取shell或反向shell的根目录内容。

寻找与上述方法不同的方法或工具来尝试查找LFI漏洞。任何有关pdf，url，youtube视频的指针都会有很大帮助。

谢谢

解决方法

我发现最好的方法是使用 FFUF。我运行它几秒钟，然后如果我得到很多无用的信息，我会查看它们中的共同点。例如，它们都可能包含 485 个单词，或者一定数量的行或者你有什么。然后我在我给出的那些示例中使用 --fw 或 --fl 来不打印任何具有这些值的内容。

一个了解 FUFF 复杂性的好网站是：https://codingo.io/tools/ffuf/bounty/2020/09/17/everything-you-need-to-know-about-ffuf.html