Local File Inclusion (LFI)

Orang penyerang dapat menggunakan Penyertaan File Lokal  File, Local File Inclusion,  (LFI) untuk mengelabui aplikasi web agar mengekspos atau menjalankan file di server web. Serangan LFI dapat menyebabkan pengungkapan informasi, eksekusi kode jarak jauh, atau bahkan Cross-site Scripting (XSS). Biasanya, LFI terjadi ketika aplikasi menggunakan jalur ke file sebagai input. Jika aplikasi memperlakukan input ini sebagai tepercaya, file lokal dapat digunakan dalam pernyataan sertakan.

Inklusi File Lokal sangat mirip dengan Inklusi File Jarak Jauh (RFI). Namun, penyerang yang menggunakan LFI hanya dapat menyertakan file lokal (bukan file jarak jauh seperti dalam kasus RFI).

Berikut ini adalah contoh kode PHP yang rentan terhadap LFI.

/ **
* Dapatkan nama file dari input GET
* Contoh - http://example.com/?file=filename.php
* /
$ file = $ _GET ['file'];
/ **
* Sertakan file dengan tidak aman
* Contoh - filename.php
* /
Include ('direktori /'. $ file);

Dalam contoh di atas, seorang penyerang dapat membuat permintaan berikut. Ini menipu aplikasi untuk mengeksekusi skrip PHP seperti shell web yang berhasil diunggah oleh penyerang ke server web.

http://example.com/?file=../../uploads/evil.php

Dalam contoh ini, file yang diunggah oleh penyerang akan dimasukkan dan dieksekusi oleh pengguna yang menjalankan aplikasi web. Itu akan memungkinkan penyerang untuk menjalankan kode berbahaya sisi-server yang mereka inginkan.

Ini adalah skenario terburuk. Penyerang tidak selalu memiliki kemampuan untuk mengunggah file jahat ke aplikasi. Bahkan jika mereka melakukannya, tidak ada jaminan bahwa aplikasi akan menyimpan file di server yang sama di mana kerentanan LFI ada. Meski begitu, penyerang masih perlu mengetahui jalur disk ke file yang diunggah Direktori Traversal bahkan tanpa kemampuan untuk mengunggah dan mengeksekusi kode, kerentanan Inklusi File Lokal dapat berbahaya. Seorang penyerang masih dapat melakukan serangan Traversal Direktori / Path Traversal menggunakan kerentanan LFI sebagai berikut.

http://example.com/?file=../../../../etc/passwd

Pada contoh di atas, seorang penyerang bisa mendapatkan konten dari file / etc / passwd yang berisi daftar pengguna di server. Demikian pula, penyerang dapat memanfaatkan kerentanan Direktori Traversal untuk mengakses file log (misalnya, Apache access.log atau error.log), kode sumber, dan informasi sensitif lainnya. Informasi ini kemudian dapat digunakan untuk meningkatkan serangan.

Menemukan dan Mencegah Kerentanan Local File Inclusion (LFI)

Untungnya, mudah untuk menguji apakah situs web atau aplikasi web Anda rentan terhadap LFI dan kerentanan lainnya dengan menjalankan pemindaian web otomatis melalui aplikasi vulner terbaru.(*)