要测试远程文件包含漏洞,执行以下步骤。
(1)向每一个目标参数提交一个连接受控制的Web服务器资源的URL,并确定是否收到运行目标应用程序的服务器提出的任何请求。
(2)如果第一次测试失败,尝试提交一个包含不存在的IP地址的URL,并确定服务器试图与这个地址建立连接时是否出现超时。
(3)如果发现应用程序易于受到远程文件包含攻击,与前面描述的动态执行攻击中一样,使用相关语言中可用的API,构建一段恶意脚本实施攻击。
相对于远程文件包含而言,存在本地文件包含漏洞的脚本环境要更多一些。要测试本地文件包含漏洞,执行以下步骤。
(1)提交服务器上一个已知可执行资源的名称,确定应用程序的行为是否有任何变化。
(2)提交服务器上一个已知静态资源的名称,确定它的内容是否被复制到应用程序的响应中。
(3)如果应用程序易于受到本地文件包含攻击,尝试通过Web服务器访问任何无法直接到达的敏感功能或资源。
(4)测试能否利用之前讲到的遍历技巧访问其他目录中的文件。