در حال بارگذاری...
تست تزریق کد شامل Local File Inclusion (LFI) و Remote File Inclusion (RFI) برای اجرای کد مخرب.
اهداف این درس
Code Injection شامل تزریق و اجرای کد مخرب در سمت سرور است. دو نوع اصلی آن Local File Inclusion (LFI) و Remote File Inclusion (RFI) هستند.
| ویژگی | LFI | RFI |
|---|---|---|
| منبع فایل | محلی سرور | سرور خارجی |
| خطر | خواندن فایل‌ها | اجرای کد از راه دور |
| پیشگیری | لیست سفید فایل‌ها | غیرفعال کردن allow_url_include |
1// ساده2../../../etc/passwd34// با encoding5..%2F..%2F..%2Fetc%2Fpasswd67// با null byte (در PHP قدیمی)8../../../etc/passwd%00910// با double encoding11%252e%252e%252fetc%252fpasswdLFI می‌تواند منجر به خواندن فایل‌های حساس سرور شود.
RFI می‌تواند منجر به اجرای کد از سرورهای خارجی شود.
Path Traversal تکنیک رایجی برای دور زدن فیلترها است.
LFI می‌تواند منجر به چه حملاتی شود؟
تفاوت LFI و RFI چیست؟
LFI (Local File Inclusion) شامل فایل‌های محلی سرور می‌شود اما RFI (Remote File Inclusion) شامل فایل‌ها از سرورهای خارجی می‌شود.