LFI - Local file include
Критична уразливість коду сайту. Максимальний рівень загрози.
LFI – це підключення, виконання або читання локальних файлів на сервері
LFI (Local file include) є максимальною загрозою класу А1 за класифікацією OWASP
LFI - Local file include - це популярний і часто експлуатований спосіб злому сайтів та веб-додатків.
LFI - це одна з найнебезпечніших уразливостей сайту. Експлуатація LFI становить максимальну загрозу для сайту, що атакується, і практично у всіх випадках призводить до його злому.
LFI – це можливість використання локальних системних файлів сервера. Вразливість дозволяє віддаленому користувачеві отримати доступ за допомогою спеціально сформованого запиту до довільних файлів на сервері, у тому числі конфіденційну інформацію.
LFI – дозволяє зловмиснику виконати або отримати дані з локального файлу. LFI виникає у випадку, коли перевірка вхідних даних та параметрів у коді сайту відсутня або недостатня.
Можливість експлуатації LFI (Remote file include) виникає через грубі помилки розробки сайту, відсутність фільтрації передаючих параметрів, а також некоректне налаштування сервера.
Приклад вразливого LFI (Local file include) PHP скрипту:
Виклик скрипта: http://vulnserver.com/ vuln.php?filename=../../../etc/passwd%00
http://vulnserver.com/ vuln.php?filename=config.php%00(Таким чином, не так давно, масово зламувалися сайти на WordPress через вразливість в одному популярному плагіні)
Результат: Атакуючий отримує конфіденційні дані з системних та конфігураційних файлів
Векторів експлуатації та розвитку LFI атак безліч. Найчастіше справа закінчується зломом сайту. Нерідко такий зломсайту залишається непоміченим для адміністратора ресурсу (якщо метою злому не був дефейс або знищення сайту).
Вразливість LFI (Local file include) на сайті – це максимальна загроза для його безпеки.
Захист від LFI (Local file include)
Фільтрування параметрів передачі даних. Фільтрування або екранування нульового байта (%00). Перевіряє валідність запитів, серверного шляху. У PHP використання суперглобального масиву $_SERVER.
Сканер уразливостей сайтів онлайн Перевірте, наскільки стійкий до злому Ваш сайт