RFI
L’inclusion de fichiers à distance (RFI) consiste pour des attaquants à faire inclure par le serveur un fichier depuis une URL distante, exécutant ainsi du code à distance sur le serveur.
Objectif
Comprendre le RCE causé par l’inclusion de fichiers à distance et ses défenses ; une vulnérabilité critique lorsque allow_url_include de PHP est activé.
Mécanisme
Le programme utilise include($_GET[page]) avec allow_url_include=On ; l’attaquant fournit http://evil.com/shell.txt et le serveur télécharge et exécute du PHP distant. Défenses : désactiver allow_url_include, listes blanches de chemins.
Cas d’usage
- Vulnérabilités RFI en PHP
- Défense contre l’inclusion à distance
- Sécurité des serveurs
Outils associés
Analyseur d'URL
Parse a URL into its components: protocol, host, path, query, hash, port, username, and password. Gratuit, privé et 100% côté client. OUTIL
Testeur de regex
Test regular expressions with match highlighting, capture groups, and replace preview. Gratuit, privé et 100% côté client. OUTIL