这是一个创建于 1716 天前的主题，其中的信息可能已经有所发展或是发生改变。
<?php
ob_start();
echo file_get_contents($_GET['pdf_url']);
ob_flush();
?>
ob_start();
echo file_get_contents($_GET['pdf_url']);
ob_flush();
?>
第 1 条附言 · 2020-03-13 11:05:50 +08:00
改成了
$url = $_GET['pdf_url'];
$arr = parse_url($url);
谢谢大佬们指点
$url = $_GET['pdf_url'];
$arr = parse_url($url);
谢谢大佬们指点
 |
1
b821025551b 2020-03-12 17:45:58 +08:00
有的，pdf_url 可传入反射型 XSS 攻击。
|
 |
2
pmispig OP @b821025551b 这个危害倒是不大，主要是不知道有没有可执行命令 注入的风险
|
|
3
b821025551b 2020-03-12 17:54:40 +08:00
@pmispig #2 你贴出来得这段代码只可以知道有 XSS，但是是否会因为 XSS 的提权造成可注入的接口暴露就不一定了。
|
 |
4
javashell 2020-03-12 18:02:12 +08:00 via Android
个人拙见，可以读取 php 源码 ，例如:
echo file_get_contents('index.php'); |
 |
7
virusdefender 2020-03-12 18:10:22 +08:00
任意文件读取啊
|
 |
10
onion83 2020-03-12 18:34:04 +08:00
echo file_get_contents('/etc/passwd');
|
 |
11
dapking 2020-03-12 18:47:41 +08:00
SSRF
|
 |
12
rekulas 2020-03-12 19:04:37 +08:00
写入和输出都是高危操作，涉及到这种语句的地方都要进行路径正则严格匹配、mime 检查、后缀检查才放心
|
 |
13
mengkun 2020-03-12 19:57:44 +08:00
/**
* 防止 SSRF 攻击，curl、file_get_contents 前检测 url */ function requestUrlSafe($url) { $link = trim(strtolower($url)); $link = str_replace('\\', '/', $link); while (strstr($link,'../')) { $link = str_replace('../', '/', $link); } if( substr($link, 0, 6) != "ftp://" && substr($link, 0, 7) != "http://" && substr($link, 0, 8) != "https://" ) { return false; } return true; } |
 |
14
xiri 2020-03-12 20:07:16 +08:00
对传进来的参数做验证，强制加上 http/https 头应该就可以避免读取本地文件的情况了
|
|
15
xiri 2020-03-12 20:08:42 +08:00
function add_protocol_header($url) {
$preg = '/^http(s)?:\\/\\/.+/'; if (preg_match($preg, $url)) { $new_url = $url; } else { $new_url = 'http://' . $url; } return $new_url; } $new_url = add_protocol_header($_GET['pdf_url']); echo file_get_contents($new_url); |
 |
16
onesec 2020-03-13 11:05:05 +08:00
典型 任意文件读取漏洞
|
Select Language