php - 这个脚本容易受到 LFI(本地文件注入(inject))的攻击吗？

Question

我想知道这个小片段是否受到本地文件注入(inject)漏洞的影响。

<?php
$lang = $_GET['lang'];
include '/some/dir/prefix_'.$lang.'whatever';

我知道可以通过在请求中放入“%00”(空字节)来忽略任何内容。但是如果/some/dir/目录下没有以'prefix_'开头的子目录，是否可以利用呢？怎么办？

在此先感谢您的回答。

Answer 1

你的意思是这样的吗？

$lang .= 'en/../../../../../etc/passwd' . 0x00;

你可以通过以下方式避免这种情况

$path = '/some/dir/prefix_'.$_GET['path'].'whatever';
$path = realpath($path);
if (($path !== false) && (strncmp('/dir/some/prefix_', $path, 17) === 0)) {
  // $path is fine
}

这个测试，如果路径存在，如果它真的在目录树下，你允许它存在。应该足够了。