dvwa文件包含初级

要进行dvwa文件包含的初级攻击，首先需要下载并解压dvwa文件包，其中包含了phpstudy_x64_8.1.1.3和DVWA-master。在DVWA页面中，使用root作为用户名，123456作为密码进行登录。

在进行文件包含攻击之前，需要了解代码中的漏洞。从低级别的代码中可以看出，服务端对上传的page参数没有进行任何过滤。接下来，使用burpsuit工具进行抓包。

首先尝试包含一个本地不存在的文件，此时会出现报错信息。从报错信息中我们可以得知，该代码使用了include函数，并暴露了包含函数文件的位置。同时，报错信息也显示没有找到指定的文件。

针对dvwa文件包含攻击的初级级别，以下是修复建议：
1. 建议使用白名单来判断文件类型，可以结合MIME Type、后缀检查、文件内容检查等方式进行判断。
2. 使用随机数和时间戳来改写文件名和文件路径，这样可以提高安全性，防止攻击者通过文件包含漏洞执行恶意代码。
3. 单独设置文件服务器域名，以限制文件的访问范围，增加安全性。<span class="em">1</span><span class="em">2</span><span class="em">3</span>
#### 引用[.reference_title]
- *1* [PHP及DVWA文件包](https://download.csdn.net/download/qq_51311067/86264360)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"]
- *2* *3* [DVWA通关详解初级](https://blog.csdn.net/weixin_44831109/article/details/114898395)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"]
[ .reference_list ]