关键信息 受影响的产品 产品名称: Payroll Management System 版本: 1.0 受影响文件: /index.php 漏洞类型 类型: 文件名控制 (Filename Control) 根因 在 文件中，通过用户输入的 参数来构造路径和包含文件。由于对 参数的值没有严格的验证或过滤，攻击者可以控制包含的文件范围。 影响 攻击者可以通过构造恶意的 参数值来指定任意本地文件进行包含，从而执行恶意代码或读取敏感数据。 描述 在对Payroll Management System项目的安全性评估过程中，在核心入口文件 中发现了一个高风险的本地文件包含（LFI）漏洞。该漏洞源于对用户输入参数 的不当处理，导致应用程序中的文件包含逻辑存在安全隐患。 登录要求 利用此漏洞需要登录或授权。 用户名: admin 密码: admin123 漏洞利用点 参数: Payload示例 漏洞复现过程截图 提供了多个截图展示漏洞复现的具体步骤和结果。 源码中的漏洞位置 显示了源代码中导致漏洞的具体部分。 推荐缓解措施 使用预处理语句（如mysqli_prepare()）。 对输入数据进行严格的验证和过滤。 实施Web应用防火墙（WAF）。 遵循最小权限原则配置数据库访问。 定期更新和修补应用程序。 监控日志以检测异常活动。