Remote File Inclusion

Was bedeutet Remote File Inclusion?

Bei der Remote File Inclusion empf├Ąngt die PHP-Anwendung Eingaben von einer vorangestellten Komponente, schr├Ąnkt die Eingabe jedoch nicht oder falsch ein, bevor sie in den Funktionen “Requirement”, “Include” oder ├Ąhnlichen Funktionen verwendet wird.

Durch die Sicherheitsanf├Ąlligkeit f├╝r das Einschlie├čen von Dateien kann ein Angreifer eine Datei einschlie├čen. Dabei werden in der Regel die in der Zielanwendung implementierten Mechanismen zum Einschlie├čen dynamischer Dateien verwendet. Die Sicherheitsanf├Ąlligkeit wird dadurch verursacht, dass vom Benutzer eingegebene Eingaben ohne ordnungsgem├Ą├če ├ťberpr├╝fung verwendet werden.

Fehler identifizieren

Der Scanner sendet eine Reihe von Anfragen mit externen URLs als┬áParameter-Wert und h├Ąlt nach einer ├ťbereinstimmung zwischen Haupttext der Antwort und Titel der Seite, von der die URLs stammen. Wenn es eine ├ťbereinstimmung zwischen der voraussichtlichen Zeichenfolge und dem Hauptteil der Antwort gibt und zudem die Kopfzeile einen Statuscode 200 ausgibt, wird eine Warnung ausgegeben und der Scanner kehrt sofort zur├╝ck.

Tipp

├ťberpr├╝fen Sie die Sicherheit Ihrer Website mit unserem kostenlosen Security Crawler oder mit der OSG Performance Suite Free Version.

Andere Informationen

In bestimmten Versionen und Konfigurationen von PHP kann ein Angreifer eine URL zu einem Remote-Standort angeben, von der aus die Software den auszuf├╝hrenden Code erh├Ąlt. In anderen F├Ąllen kann der Angreifer in Verbindung mit der Pfaddurchquerung eine lokale Datei angeben, die ausf├╝hrbare Anweisungen enthalten kann, die von PHP analysiert werden k├Ânnen.

Allgemeiner Schwachstellen-Datenbanklink

Wenn Sie noch Fragen bez├╝glich des Themas haben, dann k├Ânnen Sie sich gerne weiter ├╝ber die Seite der CWE Organisation dar├╝ber weiter informieren.


Sie haben noch Fragen?

Kontaktieren Sie uns

Kostenloser SEO-Check der OSG


Weitere Inhalte