![File Inclusion
[[++]] OO qquuee éé??
–– ÉÉ uummaa ttééccnniiccaa ((mmaalliicciioossaa nnoo ccaassoo)) qquuee
ooccoorrrree nnaa ffuunnççõõeess iinncclluuddee(())//rreeqquuiirree(()) ddoo
PPHHPP,, eellaa éé ppoossssíívveell qquuaannddoo ttaaiiss ffuunnççõõeess
nnããoo ffoorraamm ddeevviiddaammeennttee ssaanniittiizzaaddaass
ppoossssiibbiilliittaannddoo aa iinncclluussããoo ddee aarrqquuiivvooss..
**LLeemmbbrraannddoo qquuee nneessttaa aapprreesseennttaaççããoo sseerráá mmoossttrraaddoo FFiillee IInncclluussiioonn eemm
sseerrvveerrss uussaannddoo LLiinnuuxx qquuee uuttiilliizzaamm PPHHPP,, ccoonnttuuddoo eessttáá ttééccnniiccaa nnããoo eessttáá
rreessttrriittoo aappeennaass aa eessssaass tteeccnnoollooggiiaass..](data:image/gif;base64,R0lGODlhAQABAIAAAAAAAP///yH5BAEAAAAALAAAAAABAAEAAAIBRAA7)
Recomendados
Mais conteúdo relacionado
Destaque
File Inclusion vulnerabilities in PHP
- 2. File Inclusion [[++]] OO qquuee éé?? –– ÉÉ uummaa ttééccnniiccaa ((mmaalliicciioossaa nnoo ccaassoo)) qquuee ooccoorrrree nnaa ffuunnççõõeess iinncclluuddee(())//rreeqquuiirree(()) ddoo PPHHPP,, eellaa éé ppoossssíívveell qquuaannddoo ttaaiiss ffuunnççõõeess nnããoo ffoorraamm ddeevviiddaammeennttee ssaanniittiizzaaddaass ppoossssiibbiilliittaannddoo aa iinncclluussããoo ddee aarrqquuiivvooss.. **LLeemmbbrraannddoo qquuee nneessttaa aapprreesseennttaaççããoo sseerráá mmoossttrraaddoo FFiillee IInncclluussiioonn eemm sseerrvveerrss uussaannddoo LLiinnuuxx qquuee uuttiilliizzaamm PPHHPP,, ccoonnttuuddoo eessttáá ttééccnniiccaa nnããoo eessttáá rreessttrriittoo aappeennaass aa eessssaass tteeccnnoollooggiiaass..
- 3. File Inclusion [[++]] OO qquuee éé ((ffuunnççõõeess))?? –– IInncclluuddee(()):: EExxeeccuuttaa aarrqquuiivvooss ddeennttrroo ddoo pphhpp ssccrriipptt nnoo qquuaall ssee eennccoonnttrraa aa ffuunnççããoo.. ÚÚttiill ppaarraa rreefflleettiirr oo mmeessmmoo ccoonntteeúúddoo nnoo ssiittee.. –– RReeqquuiirree(()):: IIddêênnttiiccaa aaoo iinncclluuddee(()) eexxcceettoo ppoorr uummaa ccooiissaa:: CCaassoo aaccoonntteeççaa uumm eerrrroo,, oo ssccrriipptt éé iinntteerrrroommppiiddoo aaoo ccoonnttrráárriioo ddoo iinncclluuddee(()) nnoo qquuaall oo eerrrroo éé iiggnnoorraaddoo..
- 4. File Inclusion [[++]] IInncclluuddee(()) ddeemmoo::
- 5. File Inclusion [[++]] TTiippooss ddee iinncclluussããoo:: –– EExxiissttee ddooiiss ttiippoo ddee iinncclluussããoo,, aa rreemmoottaa ((AA pprreeffeerriiddaa ddooss aattaaccaanntteess)) ee llooccaall.. PPaarraa ffiinnss ddee eessttaassttiittiiccaa,, aa eemmpprreessaa ddee sseegguurraannççaa ddaa iinnffoorrmmaaççããoo,, IImmppeerrvvaa,, rreellaattoouu qquuee 2211%% ddooss aattaaqquueess eemm aapplliiccaaççõõeess wweebb eemm 22001111 ffoorraamm uuttiilliizzaaddaass FFiillee IInncclluussiioonn..
- 6. File Inclusion [[++]] CCoommoo ffuunncciioonnaa?? CCóóddiiggoo vvuullnneerráávveell:: SSiimmpplleess aattaaqquuee::
- 7. File Inclusion [[++]] RReemmoottee FFiillee IInncclluussiioonn:: –– aallllooww__uurrll__iinncclluuddee == ““oonn”” –– AA mmaaiiss ffáácciill ee pprreeffeerriiddaa ddooss aattaaccaanntteess.. –– PPoorréémm aa mmeennooss ccoommuumm jjáá qquuee ddeessddee ddaa vveerrssããoo 55..22 ddoo pphhpp,, oo aallllooww__uurrll__iinncclluuddee vveemm ddeessaattiivvaaddoo..
- 9. File Inclusion *Shell? É uma web backdoor, se a linguagem na qual foi escrita é compativel ccoomm oo wweebb sseerrvveerr eennttããoo éé ppoossssíívveell aa eexxeeccuuççããoo ddooss mmaaiiss vvaarriiaaddooss ccoommaannddooss qquuee aa lliinngguuaaggeemm ppeerrmmiittee.. PPaarraa rrooddaa--llaa eemm ffoorrmmaattoo ..ttxxtt ddeevveemmooss uuttiilliizzaarr ''??'' nnoo ffiinnaall..
- 10. File Inclusion [[++]] LLooccaall FFiillee IInncclluussiioonn:: –– MMaaiiss ccoommuumm,, ppoorrttaannttoo mmaaiiss ffooccaaddaa.. –– PPooddee lleevvaarr aa eexxeeccuuççããoo ddee uumm RRFFII
- 11. File Inclusion [[++]] LLooccaall FFiillee IInncclluussiioonn SSee ccoonnsseegguuiirrmmooss vviissuuaalliizzaarr,, vveerreemmooss oo nnoossssoo UUsseerr AAggeenntt.. LLeemmbbrree qquuee qquuaallqquueerr ccaammppoo ddee uumm hhttttpp hheeaaddeerr ((UUsseerr aaggeenntt,, ccooookkiiee,, eettcc..)) éé ppaassssíívveell ddee iinncclluussããoo .. EEnnttããoo uuttiilliizzaarreemmooss oo MMoozzzziillaa aaddddoonn:: TTaammppeerr DDaattaa ppaarraa mmooddiiffiiccaarr oo nnoossssoo rreeqquueesstt qquuee ccoonntteemm oo UUsseerr AAggeenntt.. PPhhpp ccooddee uussaannddoo aa ffuunnççããoo ssyysstteemm qquuee ppeerrmmiittee aa eexxeeccuuççããoo ddee ccoommaannddooss..
- 12. File Inclusion [[++]] TTééccnniiccaass aalltteerrnnaattiivvaass:: –– FFoorraamm mmoossttrraaddaass aass ttééccnniiccaass cclláássssiiccaass,, eennttrreettaannttoo ááss vveezzeess oo aappaacchhee/IIIISS/eettcc.. NNããoo tteemm ppeerrmmiissssããoo ppaarraa aacceessssaarr ttaaiiss aarrqquuiivvooss ccoommoo /eettcc/ppaasssswwdd,, /pprroocc/sseellff/eennvviirroonn,, eettcc.. OOuu ssiimmpplleessmmeennttee nnããoo ccoonnsseegguuiimmooss.. EEnnttããoo éé sseemmpprree bboomm tteessttaarr eessssaass ttééccnniiccaass aalltteerrnnaattiivvaass aa sseegguuiirr.. ** LLeemmbbrraannddoo qquuee sseerráá uussaaddoo pphhpp wwrraappppeerrss qquuee ssããoo nnaaddaa mmaaiiss mmeennooss qquuee ssttrreeaammss,, ffuunnççõõeess nnaattiivvaass qquuee ppeerrmmiitteemm aa lleeiittuurraa ee eessccrriittaa ddee aarrqquuiivvooss nnoo sseerrvveerr
- 13. File Inclusion [[++]] PPHHPP::////ffiilltteerr//:: ** LLeeiittuurraa ddoo ccoonntteeúúddoo ddee qquuaallqquueerr aarrqquuiivvoo nnoo sseerrvveerr.. OO ccoonntteeúúddoo éé ccoonnvveerrttiiddoo eemm bbaassee6644 ee eexxiibbiiddoo nnaa ppáággiinnaa..
- 14. File Inclusion [[++]]:: PPHHPP::////iinnppuutt ** UUssaannddoo oo hhttttpp PPoosstt mmeetthhoodd,, mmaannddaammooss uumm pphhpp ccooddee..
- 15. File Inclusion [[++]] PPhhpp::////ddaattaa –– CCaassoo oo mmaaggiicc__qquuootteess__ggppcc eesstteejjaa aattiivvaaddoo tteerreemmooss qquuee ccoonnvveerrtteerr oo pphhpp ccooddee eemm bbaassee6644 ee uussaarr aa vvaarriiáávveell gglloobbaall RREEQQUUEESSTT.. mmaaggiicc__qquuootteess__ggppcc éé uummaa ccoonnffiigguurraaççããoo ddoo pphhpp nnaa qquuaall qquuaallqquueerr aappoossttrrooffoo,, aassppaass,, eettcc,, ssããoo ssuubbssttiittuuííddooss ppoorr uummaa bbaarrrraa (())
- 16. File Inclusion [[++]] TTééccnniiccaass aavvaannççaaddaass:: –– AAss ttééccnniiccaass aalltteerrnnaattiivvaass,, ppoorr ssii ssóó jjáá ssããoo aavvaannççaaddaass vviissttoo qquuee ppoouuccooss aattaaccaanntteess aass uussaamm.. –– AAss aavvaannççaaddaass qquuee sseerrããoo mmoossttrraaddaass eennvvoollvvee ppooiissoonniinngg llooggss** nnaa qquuaall éé uumm ppoouuccoo rreessttrriittoo ppooiiss ggeerraallmmeennttee oo aacceessssoo nnããoo éé ppeerrmmiittiiddoo.. ** ppooiissoonniinngg llooggss?? SSiimm,, hhaajjaa vviissttaa qquuee oo ssiittee ppooddee eessttaarr rreecceebbeennddoo vváárriiooss aacceessssooss aaoo mmeessmmoo tteemmppoo,, tteerreemmooss qquuee lliitteerraallmmeennttee ffllooooddaarr ooss llooggss ccoomm nnoossssaass rreeqquuiissiiççõõeess..
- 17. File Inclusion [[++]] EErrrroorr LLoogg PPooiissoonniinngg:: –– MMaannddaannddoo uumm pphhpp ccooddee ppoorr tteellnneett,, oo ppaarrââmmeettrroo ccmmdd ffiiccaarráá ggrraavvaaddoo nnooss llooggss.. SSee ttiivveerrmmooss aacceessssoo,, bbaassttaa aacceessssaa--llooss ee ddeeppooiiss eexxeeccuuttaarr oouuttrrooss ccoommaannddooss
- 18. File Inclusion [[++]] EErrrroorr LLoogg PPooiissoonniinngg:: –– CCaassoo nnããoo sseejjaa ppoossssíívveell ppoorr tteellnneett,, ppooddeemmooss eennvviiaarr oo pphhpp ccooddee ppeelloo bbrroowwsseerr.. **UUrrll eennccoonnddiinngg?? SSIImm,, nnoo ccoommeeççoo ddaa eerraa ddaa IInntteerrnneett,, oo ccoonnjjuunnttoo ddee ccaarraacctteerreess AASSCCIIII ffoorraamm ooss pprriimmeeiirrooss aa eexxiissttiirr ppeerrmmiittiinnddoo aa ttrrooccaa ddee iinnffoorrmmaaççõõeess,, eexxeemmpplloo,, oo aappoossttrrooffoo eemm uurrll eennccooddiinngg//AASSCCIIII éé %%2277
- 19. File Inclusion po * Lista de possssíívveeiiss llooccaaiiss oonnddee ooss llooggss ppooddeemm sseerr aarrmmaazzeennaaddooss
- 20. File Inclusion [+] AAcccceessss LLoogg PPooiissoonniinngg:: –– MMeessmmoo ccoonncceeiittoo qquuee aa ttééccnniiccaa EErrrroorr LLoogg ppooiissoonniinngg ppoorréémm mmeessmmaa eexxeeccuuççããoo qquuee oo //pprroocc//sseellff//eennvviirroonn
- 21. File Inclusion [[++]] //pprroocc//sseellff//ffdd//**:: –– MMeessmmoo ccoonncceeiittoo qquuee aa ttééccnniiccaa EErrrroorr LLoogg ppooiissoonniinngg,, ccoonnttuuddoo oo lloogg ssóó sseerraa aarrmmaazzeennaaddoo ccaassoo oo rreeqquueesstt rreessuullttee eemm uumm 440044 hhttttpp ccooddee.. TTeemm aa mmeessmmaa eexxeeccuuççããoo qquuee oo //pprroocc//sseellff//eennvviirroonn eennttrraannttoo oo hheeaaddeerr ffiieelldd éé oo RReeffeerreerr
- 22. File Inclusion * Na segunda imagem, podemos ver os logs armazenados iinnddiiccaannddoo rreeqquueessttss qquuee rreessuullttaarraamm eemm uumm 440044 hhttttpp ccooddee
- 23. File Inclusion –– AAppóóss ggeerraarrmmooss uumm lloogg ccoomm 440044 hhttttpp ccooddee ee nnoo ccaammppoo ddoo rreeffeerreerr uumm pphhpp ccooddee,, aaoo aacceessssaarrmmooss nnoovvaammeennttee oo //pprroocc//sseellff//ffdd//** vveerreemmooss qquuee oo ccoommaannddoo ffooii eexxeeccuuttaaddoo.. SSeennddoo aassssiimm,, nnooss ddáá aa ppoossssiibbiilliiddaaddee ddee uuppaarr nnoossssaa sshheellll
- 24. File Inclusion [[++]] MMééttooddooss ddee eevvaassããoo NNuullllbbyytteess** UUppllooaadd ((aalltteerrnnaattiivvooss)) ** ÁÁss vveezzeess pprrooggrraammaaddoorreess bboottaamm ““pphhpp”” nnoo ffiinnaall ddaa ffuunnççããoo iinncclluuddee(()),, eennttããoo ssee tteennttaarrmmooss uumm ffiillee iinncclluussiioonn ffiiccaarriiaa //eettcc//ppaasssswwdd..pphhpp.. PPaarraa iissssoo ooss NNuullllbbyytteess iinntteerrrroommppee aa lleeiittuurraa ddaa uurrll..
- 25. File Inclusion [[++]] CCoommoo ssee pprrootteeggeerr??
- 26. File Inclusion [[++]] AAggrraaddeecciimmeennttooss:: AAnnttaaggoonniissmm ee HHooooddeeddRR00bb!!nn ((HHaacckkffoorruummss mmeemmbbeerrss)) DDVVWWAA ddeevveellooppeerrss ((VVuullnneerraabbllee wweebb aapppplliiccaattiioonn)) IImmppeerrvvaa ((SSeeccuurriittyy eenntteerrpprriissee))