Kali与编程・文件包含漏洞・大白话版（超好懂）

大家好我是Kali与编程讲师老KB站和网易云课堂讲师专注Kali 教学致力于帮助小白轻松学会Kali 与编程接下来你将搞懂什么是《文件包含漏洞》。很多刚接触网络安全和 Kali 渗透测试的新手第一次听到文件包含漏洞这个专业名词时都会觉得十分高深完全摸不着头脑总认为是专业大神才能理解的复杂技术。其实抛开网络安全的专业外壳文件包含漏洞本质就是生活里随处可见的简单逻辑只要弄懂底层原理零基础小白也能轻松吃透。首先我们先拆解字面意思文件包含简单来说就是网站为了搭建便捷不会把所有文字、代码全部堆砌在同一个页面里。就像我们日常写长篇作文不会把所有内容挤在一张纸上而是拆分到多张草稿纸需要用到哪部分内容就将那张草稿纸的内容拿过来合并使用。网站也是同样的逻辑会将导航栏、底部文案、广告栏等内容单独做成独立小文件主页面运行时自动调取这些小文件这个调取合并的过程就是文件包含。而漏洞就是这套调取机制出现了逻辑破绽。正常情况下网站仅允许调取预设好的正规文件可一旦开发编写代码时疏忽大意没有设置访问限制黑客就能手动修改调取地址让网站加载服务器内部的私密文件或是外部的恶意代码文件文件包含漏洞就此产生。给大家举个生活化的例子理解把网站比作一家自助餐厅餐厅提前备好米饭、青菜、肉类等合规食材供顾客自由挑选取用这就是正常的文件包含。但如果餐厅管理松懈没有把控食材准入门槛顾客私自携带变质食物、有害食材进入后厨混入菜品中供所有人食用最终造成餐厅出问题这便是文件包含漏洞。黑客利用该漏洞相当于混入后厨肆意调取私密内容、投放恶意代码。再讲渗透测试中的实际场景部分简易搭建的网站网址末尾会出现?pageindex.php这类字符意思是当前页面正在调取 index 这个页面文件。若网站存在文件包含漏洞攻击者就可以修改后方参数调取服务器的账号密码配置文件直接获取网站核心隐私数据也能加载恶意脚本文件彻底控制整个网站后台。大家要明白这类漏洞并非刻意设计的病毒大多是程序员编写代码时偷懒或是缺少安全防护意识导致。早些年大量中小型网站、校园网站、企业官网都普遍存在该漏洞也是早期 Kali 渗透测试中最容易利用、上手最简单的漏洞之一。同时要分清文件包含漏洞分为本地包含和远程包含两类。本地包含只能读取服务器本机私密文件危害相对较小远程包含可以加载外网恶意程序危害程度极大如今绝大部分服务器都已做防护屏蔽。总而言之文件包含漏洞的核心本质网站随意调用外部文件产生的安全缺陷被恶意利用后造成网站信息泄露或被整体控制。学习 Kali 渗透核心就是先看懂各类漏洞的底层逻辑再用工具检测网站是否存在对应问题全程并不复杂。话题讨论你觉得日常上网中哪种网站最容易出现文件包含这类低级漏洞关注我每天学习 Kali 知识。点击阅读原文学习黑客入门《Kali与编程最全课》https://b23.tv/LK8FUcEhttps://b23.tv/LK8FUcE