Toxin: 探索 LFI 漏洞及利用工具的威力

资源摘要信息:"toxin工具是一个专门用于利用本地文件包含（Local File Inclusion，简称LFI）漏洞的Python开发的安全工具。它主要针对那些通过PHP的register_globals设置可能导致的漏洞进行攻击。register_globals是PHP的一个配置选项，它会自动将GET、POST和COOKIE中的变量注册为全局变量。虽然该配置在PHP 5.4.0以后被废弃，但在旧版本或者配置不当的服务器上，仍然可能存在安全风险。 使用Toxin工具时，攻击者首先会构造一个含有任意PHP代码的自定义User-Agent头信息。这段代码的作用是在服务器环境中注册一个新的全局变量，该变量通常用于执行系统命令。例如，攻击者可能会在User-Agent头信息中嵌入以下PHP代码片段： <?php system ($_GET['cmd']); ?> 这段代码会创建一个名为cmd的新变量，并通过GET请求的方式来接收外部输入。当这个User-Agent头被服务器接收到并执行后，服务器就会把cmd变量作为系统命令执行，从而允许攻击者在服务器上执行任意命令。 在成功注册了恶意全局变量之后，攻击者会将包含命令的查询字符串附加到URL上。这个URL对应于目标主机上易于被包含的文件，例如日志文件、配置文件等。攻击者利用这些文件作为媒介，通过LFI漏洞执行服务器上的任意系统级命令。例如，攻击者构建的URL可能如下所示： *** 在这个例子中，攻击者通过向info.php页面发送一个包含恶意User-Agent头和查询字符串的请求，利用LFI漏洞访问了服务器的Apache访问日志，并通过cmd参数执行了whoami命令，以获取服务器当前运行的用户身份信息。 Toxin工具通过Python的requests库来发送网络请求，并通过click库来处理命令行接口，使得攻击者可以通过简单的命令行操作来使用这个工具。使用这个工具的人员通常需要具备一定的网络安全知识和编程技能，以便正确使用这个工具进行安全测试或者安全研究。 此外，标签中提到的Python、requests、click、security-tools和lfi-exploitation等词汇，表明这个工具是用Python语言编写的，用于执行安全测试，特别是针对LFI漏洞的利用。标签还体现了该工具的特定用途，即本地文件包含漏洞的利用。" 【注】：本文中未使用到压缩包子文件的文件名称列表，因为给定文件信息中没有提供具体的文件内容，仅提供了文件名称。在实际操作中，应当检查压缩包子文件的文件列表，并分析其中的每一个文件，以确定其与LFI漏洞利用工具有何关联。