Nasze
Artykuły

LFI - Co to jest?

LFI - Co to jest?

Local File Inclusion, czyli ładowanie nieautoryzowane odczytanie/wykonanie kodu lokalnego pliku stanowi coraz mniejszy odsetek ostatnich ataków.

Podstawową i najprostszą zarazem metodą obrony jest oczywiście whitelisting, który to pozwoli na ładowanie tylko zasobów, z góry okreslonych przez twórcę aplikacji.

Przykład prawdopodobnego adresu URL, zawierającego podatność LFI to:

http://jakastronapodatnanalfi.pl/?strona=./kontakt.html

Zaprezentowany powyżej przykład jest oczywiście jednym z najprostszych do eksploitacji, ponieważ zawiera podaną konkretnie ścieżkę pliku, który ma zostać załadowany.
Możemy w tym przypadku zamienić frazę "./kontakt.html" na "/etc/passwd" - w efekcie otrzymamy źródło pliku passwd.

Na szczęście w chwili obecnej mało który, serwer http pozwala na poruszanie się po tych krytycznych z punktu bezpieczeństwa plikach.

Jeżeli masz ochotę potrenować z LFI oraz jego rozwinięciem jakim jest SCD zachęcam do darmowego tutorialu/challange'a.

https://hack.me/102175/lfi-scd.html