智能网联汽车信息安全实训平台-TSP云平台的文件包含漏洞实验

 

目录

一、测试对象

二、教学目的

三、详细介绍

四、依赖软件工具

五、依赖硬件工具

六、实验步骤

1.搜索到TSP云平台的文件包含漏洞

2.使用本地文件包含来读取本地文件隐私数据

3.使用远程文件包含来植入木马

4.通过菜刀或中国蚁剑来连接木马，远程控制服务器

---

智能网联汽车信息安全实训平台的文件包含漏洞实验，测试方案覆盖车机软件、车载通信、车内智能终端设备、车内总线等检测环境。

一、测试对象

TSP云平台

二、教学目的

通过指导学生上机实践，让学生学习利用TSP云平台的文件包含漏洞进行攻击的基本原理和操作过程，了解除汽车本身外，TSP平台可能存在的安全威胁，并加强安全防护意识。

三、详细介绍

本实验介绍一种对TSP云平台进行文件包含漏洞利用的基本过程。利用本地文件包含查看服务器端的隐私文件，利用远程文件包含向服务器上传木马，并使用中国蚁剑连接木马，从而实现对服务器的远程控制。

四、依赖软件工具

中国蚁剑

一个网站管理工具，也常用于授权人员对网站的安全渗透测试。本实验使用这个工具连接在远程文件包含中植入的网站木马。

五、依赖硬件工具

Windows系统PC，Ubuntu系统工控机。

六、实验步骤

实验流程和网络拓扑

1.搜索到TSP云平台的文件包含漏洞

打开TSP云平台登录页面，观察到URL的参数filename的值是一个login.php，是一个页面，因此推测该平台存在文件包含漏洞。

http://192.168.9.135/include.php?filename=login.php