php文件类型验证,包含漏洞文件类型白名单验证及判断后缀的解决办法

$include_file 可控，可以上传文件, 上传后缀限制为jpg,gif,png,包含后缀限制必须为.php

allow_url_include=Off (不考虑远程包含)if ( isset( $include_file ) && strtolower( substr( $include_file, -4 ) ) == ".php" )

{

include_once( $include_file );

}

-----------------------------------------------------

解决方案

要求php>=5.3

把php打包成zip，改名上传，比如名为info.zip.jpg然后用phar流包装器包含，其中info.zip.jpg为zip文件名，info.php为zip压缩包内子文件名

测试代码:

echo "ini_get(allow_url_include):".ini_get("allow_url_include")."";

$include_file=$_GET['a'];

if ( isset( $include_file ) && strtolower( substr( $include_file, -4 ) ) == ".php" )

{

include_once( $include_file );

}

else

{

echo "file err";

}

参考文档：http://php.net/manual/zh/phar.using.stream.phpPS.据php官方文档所述，最少需要php5.3才能使用，5.3之前需要拓展如果不能用的话，还可以试试zip流包装器(需要zip拓展)，注意转义井号：

zip://info.zip.jpg#info.php

php文件类型验证,包含漏洞文件类型白名单验证及判断后缀的解决办法相关推荐

GitLabCICD实战----在.gitlab-ci.yml文件的步骤中使用git clone 另一个代码仓报错的解决办法
更多信息请关注个人网站一.背景在有些时候,比如在一个项目中,产品的代码是java代码仓,自动化测试脚本是python语言,单独存放的代码仓,在使用GitlabCICD构建流水线的时候有这样一种场 ...
如何为ASP.NET Core设置客户端IP白名单验证
本篇博文中展示了如何在ASP.NET Core应用程序中设置IP白名单验证的3种方式. 你可以使用一下3种方式: 使用中间件检查每个请求的远程IP地址使用Action过滤器为指定的Controlle ...
【区块链 | Merkle】使用Merkle Tree空投，白名单验证
Merkle Tree在高效验证数据的同时减少了链上计算和存储,因为非常适合基于区块链的白名单验证,空投,IDO等需要验证数据的业务. Merkle Tree介绍默克尔树,在区块链出现前,曾广泛用于 ...
java ip 白名单_Java代码中对IP进行白名单验证
public classipUtil {//IP的正则,这个正则不能验证第一组数字为0的情况//private static Pattern pattern = Pattern//.compile(& ...
文件包含漏洞文件伪协议利用
目录 0x0 文件包含漏洞原理 0x1 检测文件包含漏洞 0x2 文件包含漏洞类型 0x3 文件协议流 0x4 实战简介 #文件包含漏洞原理,检测,类型,利用,修复等 #文件包含各个脚本代码 AS ...
什么是文件包含漏洞?文件包含漏洞分类!
网络安全是安全产业的重要组成部分,也是国家高度重视且大力支持的重点方向,在当下十分受关注,正因如此,越来越多的人选择转行学习网络安全.提及网络安全,大家应该都知道网络安全中有很多漏洞,今天这篇文章主要 ...
Struts文件上传包含修改文件上传参数,多文件上传
配置xml: <?xml version="1.0" encoding="UTF-8" ?> <!DOCTYPE struts PUBLIC& ...
C/C++不同文件夹下包含头文件的方法及#include的使用
本文主要介绍了如何不同文件夹下使用预处理器指示符#include. 假设我们有如下一个工程,其中包含了几个源代码文件和头文件.其中main.c是主源代码文件,里面包含main函数. X 在bas ...
tar压缩或者解压文件（包含当前文件夹不包含当前文件夹两种情况）
文章目录一.背景二.包含当前文件夹方式 1.压缩 2.解压三.不包含文件夹方式 1.压缩 2.解压转载请标明出处: https://bigmaning.blog.csdn.net/articl ...

php文件类型验证,包含漏洞文件类型白名单验证及判断后缀的解决办法

php文件类型验证,包含漏洞文件类型白名单验证及判断后缀的解决办法相关推荐

最新文章

热门文章

php文件类型验证,包含漏洞 文件类型白名单验证及判断后缀的解决办法

php文件类型验证,包含漏洞 文件类型白名单验证及判断后缀的解决办法相关推荐

最新文章

热门文章

php文件类型验证,包含漏洞文件类型白名单验证及判断后缀的解决办法

php文件类型验证,包含漏洞文件类型白名单验证及判断后缀的解决办法相关推荐