Post

LFI, Local File Inclusion

Posted Updated
By umbum 1 min read

LFI, Local File Inclusion

http://php.net/manual/en/wrappers.php.php

PHP에서는 php://filter를 사용해서 File IO하는 방법도 있는데, 이게 문자열로 넘어가기 때문에 필터링 우회에 사용할 수 있다. 예를 들어 flag.txt라는 문자열을 필터링해놓은 경우, 다음 처럼 넘겨서 우회할 수 있다. (물론 서버의 필터링에 따라 더 간단하게 우회할 수 있는 경우도 있다.)

1
2

?fname=php://filter/convert.base64-encode/resource=flag

이와 비슷하지만 원격지 파일을 참조하게 되면 RFI다.

Security, WebHacking
This post is licensed under CC BY 4.0 by the author.