shikata ga nai

Private? There is no such things.

MutillidaeⅡでリモートファイルインクルージョンをやってみた

Hello there, ('ω')ノ

 

Mutillidaeでは、やってなかったRFIを。

RFIは、外部URLおよびリモートにあるファイルにアクセスしようとする攻撃で。

パラメータ操作で攻撃が可能であって。

サーバ側のチェックの欠如や見落としによって。

パラメータを変更して、ホワイトリストに登録されていない場所だったり。

適切なデータ検証でサニタイズされていない場所にリダイレクトできて。

 

f:id:ThisIsOne:20210204121609p:plain

 

ログインページをリピータへ。

 

f:id:ThisIsOne:20210204121742p:plain

 

パラメータを下記に変更してSendしてみると、GETBOOのページがロードされて。

 http://192.168.0.69/getboo/

f:id:ThisIsOne:20210204121927p:plain

 

f:id:ThisIsOne:20210204122229p:plain

 

Best regards, (^^ゞ

ひとりひとりの自覚をもった行動で、医療従事者と保健所職員を助けよう。

f:id:ThisIsOne:20200404115457p:plain