ploto_cs的博客

文章目录一．文件包含漏洞二．实验环境三．LOW(1)本地文件包含(2)远程文件包含四．Medim(1)本地包含漏洞(2)远程包含漏洞五．High六．impossible参考文章一．文件包含漏洞1.什么是文件包含？程序开发人员通常会把可重复使用的函数写到单个文件中，在使用某些函数时，直接调用此文件，无需再次编写，这种调用文件的过程一般被称为文件包含。2.文件包含漏洞的形成原因随着网站业务的需求，程序开发人员一般希望代码更灵活，所以将被包含的文件设置为变量，用来进行动态调用，但是正是这种灵活性通过

XSS、CSRF、SSRF的概念，防御和实验一．概念相同点：XSS，CSRF，SSRF三种常见的Web服务端漏洞均是由于，服务器端对用户提供的可控数据过于信任或者过滤不严导致的。不同点：XSS是服务器对用户输入的数据没有进行足够的过滤，导致客户端浏览器在渲染服务器返回的html页面时，出现了预期值之外的脚本语句被执行。CSRF(跨站请求伪造)是服务器端没有对用户提交的数据进行随机值校验，且对http请求包内的refer字段校验不严，导致攻击者可以利用用户的Cookie信息伪造用户请求发送至服务器