Local File Inclusion (LFI) zəifliyi nədir?
Local File Inclusion (LFI) veb tətbiqlərdə rast gəlinən təhlükəsizlik boşluğudur və istifadəçi tərəfindən daxil edilən məlumatın düzgün yoxlanılmaması nəticəsində yaranır.
Bir çox veb tətbiqlər səhifələri və ya məzmunu dinamik şəkildə yükləmək üçün istifadəçi inputundan istifadə edir. Əgər bu proses zamanı təhlükəsizlik nəzarəti zəif olarsa, kibercinayətkar həmin mexanizmi dəyişdirərək server daxilində mövcud olan fayllara çıxış əldə edə bilər.
Bu halda sistem yalnız nəzərdə tutulan faylları deyil, eyni zamanda daxili və məxfi faylları da açmağa məcbur qala bilər. Bu isə tətbiqin təhlükəsizliyinə birbaşa təsir edir və ciddi risklər yaradır.
Hücumun baş vermə ardıcıllığı
- Tətbiq istifadəçi tərəfindən təqdim olunan məlumat əsasında fayl seçir
- Bu məlumat kifayət qədər yoxlanılmır
- Fayl yolu dəyişdirilərək sistemin digər hissələrinə yönləndirilir
Zəifliyin yarada biləcəyi risklər
- Məxfi məlumatların sızması
- Sistem fayllarına icazəsiz giriş
- Tətbiqin daxili strukturu haqqında məlumat əldə olunması
- Session və log fayllarının oxunması
- Daha ciddi hücumlara şərait yaranması
Qorunma yolları
- ✓ İstifadəçi inputu birbaşa fayl yolu kimi istifadə edilməməlidir
- ✓ Yalnız icazə verilmiş faylların siyahısından istifadə olunmalıdır
- ✓ Fayl yolları yoxlanılmalı və şübhəli hissələr bloklanmalıdır
- ✓ Server səviyyəsində məhdudiyyətlər tətbiq edilməlidir
- ✓ Təhlükəsiz kod yazma qaydalarına riayət olunmalıdır
- ✓ Müntəzəm kibertəhlükəsizlik təlimləri ilə əməkdaşların məlumatlılığı artırılmalıdır
Nəticə
Local File Inclusion zəifliyi sadə görünsə də, təşkilatlar üçün ciddi təhlükələr yarada bilər. Bu risk düzgün texniki yanaşma və məlumatlı komanda ilə effektiv şəkildə idarə oluna bilər.
CYBERSIGN, şirkətlər üçün kibertəhlükəsizlik maarifləndirmə təlimlərinin təşkili və şirkət təhlükəsizliyinin təmin edilməsi üçün kibertəhlükəsizlik xidmətlərini təklif edir.