倒數9天！昨天講完了 XSS，今天就進入下一個漏洞類型，終於來到一個比較簡單的主題：Path Traversal，至於爲什麽不是 LFI，因爲我覺得 Path Traversal 算是入門版的 LFI，所以就先介紹 Path Traversal，基本上兩者差異如下

1. Path Traversal（路徑遍歷）：
   Path Traversal 是一種安全漏洞，通常出現在應用程式中，允許攻擊者訪問應用程式服務器上的檔案系統中的文件或目錄，而不受應用程式的限制。
   攻擊者通過輸入包含相對路徑或絕對路徑的惡意數據來嘗試遍歷目標檔案系統。
   潛在影響包括泄露敏感資料、執行任意檔案件讀取操作、破壞系統檔案等。
   Local File Inclusion (LFI，本機檔案包含)：

2. LFI 是一種安全漏洞，通常出現在Web應用程式中，允許攻擊者在服務器上包含本機檔案，這些檔案本來不應該由外部訪問者訪問。
   攻擊者利用應用程式中的漏洞，將惡意檔案路徑傳遞給應用程式，以便包含本機檔案，如配置檔案、日志檔案等。
   潛在影響包括泄露敏感信息、執行任意檔案包含操作、遠程程式執行等。

操作原理

那詳細的操作原理如下：
造成 Path traversa 的關鍵在於
我們可以使用 ../ 來表示「到上一層目錄」

/Home/Document/hackersir/../

因為加上了 ../
會判斷這個目錄為 /Home/Document/hackersir 的上一層目錄

/Home/Document/

不知道路徑的話要怎麽辦
問就是暴力破解
以下都是一些常見的敏感資料的檔案名稱

index.php
config.php
admin.php
admin/login
login.aspx
...

那有一些自動工具可以提供大家來玩玩

• dirb
• dirsearch
• ffuf

今天先講基本原理，明天再來實戰~~