[ مُجاب ] ثغرة LFI

[r00tki113rr00tki113r is verified member.]

بسم الله والحمد لله والصلاة والسلام على رسولنا محمد وعلى آله وصحبه أجمعين
السلام عليكم إخواني وأخواتي الكرام , حياكم الله

هل يمكن بعد إذنكم شرح كيفية الاستفادة بأكثر قدر ممكن من ثغرة LFI ؟
أتمنى بأن لا تبخلوا علينا في طرح جميع الجوانب من الثغرة بدون استثناء أي قسم (غير أخلاقي وإلخ...)

أُقدم لكم أحر التحيات والشكر
دُمتم بخير جميعًا, والسلام عليكم ورحمة الله تعالى وبركاته​

 

[OldMeOldMe is verified member.]

و عليكم السلام و رحمة الله و بركاته
لست افضل من يشرحها لكن ببساطة هي تشرح نفسها
Local File Inclusion

عندما تستهدف ملف معين لقراءته يمكن ان تكشف عن معلومات حساسة للاتصال بقواعد البيانات او من خلال قراءة سورس كود الموقع
و استكشاف الفلترة على سبيل المثالاو قراءة الملاحظات الموجودة في الكود او حتى سرقة الكود نفسه ...


هي فكرتها ان تعطيك امكانية قراءة الملفات , اما اقصى استغلال فهو في خيالك .. انت تقرر ما هو اقوى استغلال لها ..
يعني لو استهدفت ملفات السيرفر سوف يكون اخطر استغلال هو قراءة ملف الـpasswd او حتى sam
او انك تستهدف الموقع فتسحب الكود المصدري له ..

الموضوع ليس معقد لكن يعتمد عليك في النهاية و الهدف من الاستهداف .

 

[r00tki113rr00tki113r is verified member.]

و عليكم السلام و رحمة الله و بركاته
لست افضل من يشرحها لكن ببساطة هي تشرح نفسها
Local File Inclusion

عندما تستهدف ملف معين لقراءته يمكن ان تكشف عن معلومات حساسة للاتصال بقواعد البيانات او من خلال قراءة سورس كود الموقع
و استكشاف الفلترة على سبيل المثالاو قراءة الملاحظات الموجودة في الكود او حتى سرقة الكود نفسه ...


هي فكرتها ان تعطيك امكانية قراءة الملفات , اما اقصى استغلال فهو في خيالك .. انت تقرر ما هو اقوى استغلال لها ..
يعني لو استهدفت ملفات السيرفر سوف يكون اخطر استغلال هو قراءة ملف الـpasswd او حتى sam
او انك تستهدف الموقع فتسحب الكود المصدري له ..

الموضوع ليس معقد لكن يعتمد عليك في النهاية و الهدف من الاستهداف .

شكرا جزيلا لك اخي واستاذي الكريم حياك الله
ما هو انا عن بحاول اسحب السورس كود من الموقع وسحبت ملفات كثيرة ولاكن بدون ترابط
يعني سحبت ملف الصفحة الرئيسية ولاكن بدون جودى

وصلت الى قاعدة البيانات ومعلومات الإتصال ولاكن عندم احاول الإتصال لا يقبل
كنت بتمنى ان يكون هنا عمل فريق للمحاولة, وبالمناسبة الموقع صهيوني واسر****

بارك الله فيكم جميعا ورفع مكانتكم في الجنة إن شاء الله
شكرا على ردك اخي الكريم

 

[OldMeOldMe is verified member.]

شكرا جزيلا لك اخي واستاذي الكريم حياك الله
ما هو انا عن بحاول اسحب السورس كود من الموقع وسحبت ملفات كثيرة ولاكن بدون ترابط
يعني سحبت ملف الصفحة الرئيسية ولاكن بدون جودى

وصلت الى قاعدة البيانات ومعلومات الإتصال ولاكن عندم احاول الإتصال لا يقبل
كنت بتمنى ان يكون هنا عمل فريق للمحاولة, وبالمناسبة الموقع صهيوني واسر****

بارك الله فيكم جميعا ورفع مكانتكم في الجنة إن شاء الله
شكرا على ردك اخي الكريم

جازاك الله عنا خيراً اخي و اعانك على ذلك
بالنسبة لسؤالك هو كان عن الثغرة و ليس بالضرورة يكون استغلالها مضر .. يمكن انها موجودة لكن غير مضرة (حدث معي كثيراً)
لذلك حاول ان تجد ثغرات اخرى و الاهم حاول ان تستهدف الخادم لان الموقع يمكن ان يكون محمي انما الخادم قد يكون اسهل مما تظن ..

ان شاء الله الاخوة هنا افضل مني بكثير , انا لا استاذ ولا شي .. هم من يتسحقوا ذلك لان خبرتهم فعلا مميزة جداً في الويب ..

فقط انتظر علهم يتواجدون قريباً

 

[r00tki113rr00tki113r is verified member.]

جازاك الله عنا خيراً اخي و اعانك على ذلك
بالنسبة لسؤالك هو كان عن الثغرة و ليس بالضرورة يكون استغلالها مضر .. يمكن انها موجودة لكن غير مضرة (حدث معي كثيراً)
لذلك حاول ان تجد ثغرات اخرى و الاهم حاول ان تستهدف الخادم لان الموقع يمكن ان يكون محمي انما الخادم قد يكون اسهل مما تظن ..

ان شاء الله الاخوة هنا افضل مني بكثير , انا لا استاذ ولا شي .. هم من يتسحقوا ذلك لان خبرتهم فعلا مميزة جداً في الويب ..

فقط انتظر علهم يتواجدون قريباً

حبيبي, والله كفيت ووفيت يا استاذ

انا بالنسبة لي اخي الكريم, ليس كل شخص لديه تعمق في المعلومات هو استاذ
بل كل شخص يفيد ويطرح عليك معلومة ولو حتى رأس خيط فهذا هو الأستاذ الحقيقي
وكل الاخوة والاخوات مميزين ,معلمين واساتذة بمعنى الكلمة في هذا المتدى, بارك الله فيهم جميعا

اذا كان عندك وقت وبتحب تحاول وتجرب معي اخي الكريم, بنتواصل على الخاص على المندى هنا
شكرا لكم جميعا