Web 如何测试和利用LFI漏洞

我正在寻找消除误报，同时使用自动扫描仪测试LFI漏洞 如LFISuite。我们可以使用任何工具和提示来测试端点中的LFI漏洞，如：

我使用的方法

首先尝试使用assetfinder和gf模式等工具查找可能存在LFI漏洞的端点

其次，当文件被/etc/passwd或类似的有效载荷替换时，使用LFI扫描仪（如LFISuite或Burp入侵者）检查http响应代码200 3.但是，即使http响应是200，结果往往是一些代码被暴露，而不是根目录的内容被利用来获取shell或反向shell

寻找一些不同于上面的方法或工具来尝试查找LFI漏洞。任何关于PDF、URL、youtube视频的指针都会非常有帮助

---

谢谢

我发现最好的方法是使用FFUF。我运行了几秒钟，然后如果我得到了很多无用的信息，我会看看它们的共同点。例如，它们都可能包含485个单词，或一定数量的行或您拥有的内容。然后在我给出的示例中使用--fw或--fl，以避免打印出任何具有这些值的内容

---

了解FUFF的复杂性的一个很好的网站是：

我经常使用dirsearch和dirhunt，但dirsearch会带来很多误报。ffuf也没有给我带来任何有成效的结果。我会得到很多URL，比如：像图像端点。在图像端点有没有可能得到LFI，或者我们最常见的地方是哪里获得LFII的蛮力我很惊讶fuff并没有给你预期的结果。我想这都取决于你所用的词表。我使用这个工具获得了很好的效果：