Differences

This shows you the differences between two versions of the page.

--- local_file_inclusion [2023/11/27 14:00] – zrinka
+++ local_file_inclusion [2026/06/11 19:23] (current) – mbunic
@@ Line 1: / Line 1: @@
 ====Local file inclusion====
-**Napad uključenja lokalne datoteke** (//Local File Inclusion//, LFI) napad je koji prisiljava HTTP poslužitelj da u odgovor na zahtjev ugradi datoteku koja je pohranjena na napadnutom poslužitelju.
+**Ranjivost uključivanja lokalnih datoteka** (//Local File Inclusion//, LFI) napadaču omogućuje uključivanje, dohvaćanje ili čitanje datoteka iz datotečnog sustava poslužitelja, uključujući datoteke koje sadrže osjetljive podatke i ne bi trebale biti izložene korisnicima.
-Datoteka može izravno izvršiti neki maliciozan kod ili sadržavati osjetljive informacije
+To mogu biti konfiguracijske datoteke, datoteke s kodom koji se izvršava na poslužitelju, datoteke baze podataka (npr. ako se koristi SQLite), "/etc/passwd" datoteka i druge.
-kojima prosječan korisnik ne bi trebao imati pristup.
-Ako HTTP zaglavlje sadrži "Content-Disposition: attachment; filename=file.pdf",
-datoteka se neće prikazati, već odmah preuzeti. To predstavlja problem u slučaju
-nepročišćenog zahtjeva jer napadač može uključiti malicioznu datoteku.
-Najčešće je prisutan u PHP web aplikacijama i to u naredbama include(<filename>) ili include_once(<filename>)
+Primjeri funkcija u PHP web aplikacijama koje nepravilnim korištenjem mogu omogućiti ovaj napad su funkcije include(<filename>) i include_once(<filename>). Ranjivost nastaje
-koje primaju putanju do datoteke koja se uključuje u program. Ranjivost se javlja
+kada se korisnički unos, izravno ili neizravno, koristi kao argument funkcije bez provjere ili adekvatnih ograničenja. To omogućuje napadaču da navede proizvoljne datoteke iz lokalnog datotečnog sustava kao argumente funkcije, navodeći njihovu apsolutnu ili relativnu putanju.
-kad nema provjere primljenog argumenta jer tada napadač može dobiti
-mogućnost čitanja svih datoteka na poslužitelju na koje korisnički račun web
+Posljedica toga, osim dohvaćanja osjetljivih datoteka iz datotečnog sustava poslužitelja, u određenim okolnostima može biti čak i izvršavanje koda u datotekama, ako je npr. kao argument navedena datoteka s kodom i *.php* ekstenzijom te se učitava funkcijom *include*. Tako napad potencijalno može eskalirati i do izvršavanja koda (//Remote Code Execution//, RCE).
-aplikacije ima pravo pristupa i čitanja.
+Pretpostavimo da korisnik unese sljedeći URL:
-Recimo da korisnik unese:
 <code>
 http://vulnerable_host/preview.php?file=../../../../etc/passwd
 </code>
-Ova naredba ispisat će sve korisnike prisutne na ranjivom poslužitelju budući da
+Ovaj zahtjev ispisat će sadržaj datoteke "/etc/passwd" s poslužitelja ako parametar //file// nema nikakvu provjeru i pročišćavanje vrijednosti putanje. U ovom URL-u putanja je zadana relativno, tj. u odnosu na radni direktorij u kojem se aplikacija izvršava. Oznaka ".." u putanji predstavlja roditeljski direktorij, odnosno direktorij jednu razinu iznad trenutačnog. Budući da //file// parametar ne ograničava kretanje kroz strukturu direktorija, napadač bi to mogao iskoristiti tako da
-parametar //page// nema nikakvu provjeru i pročišćavanje putanje. U ovom linku putanja je zadana relativno, dakle od trenutnog direktorija u kojem se nalazimo. Oznaka .. u toj putanji označava jedan direktorij
+se popne četiri razine direktorija iznad trenutačnog direktorija.
-iznad. Budući da //page// parametar nema nikakvu provjeru koliko se daleko korisnik
-može pomicati prema gore, napadač bi to mogao iskoristiti tako da
-se popne čak četiri direktorija iznad trenutnoga. Korisnik je u ovome primjeru došao
-do korijenskog (//root//) direktorija kojemu nitko osim administratora ne bi trebao imati pristup.
-U tome direktoriju nalazi se etc direktorij koji u Linux sustavima
-sadrži sve informacije vezane uz konfiguraciju sustava, uključujući korisnike
-i njihove lozinke. Zato je napadač uspio doći do svih korisnika sustava. To je potencijalno
-opasno jer jednom kad napadač uspije enumerirati sve korisnike u nekom sustavu, može grubom silom
-(//brute force//) probiti njihove lozinke i steći njihova prava.
-Ranjivost se može iskoristiti i kod naprednijih naredbi, primjerice:
+Napadač bi u ovom slučaju došao
+do korijenskog (//root//) direktorija, čime može pristupiti osjetljivim datotekama koje aplikacija inače ne bi smjela izlagati korisnicima.
+U tom direktoriju nalazi se /etc direktorij koji u Linux sustavima
+sadrži informacije vezane uz konfiguraciju sustava, uključujući korisnike
+i njihove hashirane lozinke (/etc/shadow datoteka).
+To je potencijalno
+opasno jer ako napadač uspije enumerirati sve korisničke račune u sustavu, može grubom silom
+(//brute force// ili korištenjem rječnika) nad hashevima njihovih lozinki pokušati otkriti izvorne lozinke i koristiti njihove račune (iako obično samo administrator ima pristup /etc/shadow datoteci, proces može biti neispravno pokrenut s prevelikom razinom privilegija ili se napad može kombinirati s napadom podizanja privilegija).
+Ranjivost se može iskoristiti i kod zaštićenijih oblika poziva funkcija, primjerice:
 <code>
-<?php include($_GET['file'].".php"); ?>
+<?php include($_GET['file'] . ".php"); ?>
 </code>
-U ovom slučaju datoteka koju dohvaćamo ima predefiniranu ekstenziju .php pa
+U ovom slučaju datoteka koja se dohvaća ima predefiniranu ekstenziju .php pa se
-ne možemo jednostavno poslati drugu datoteku u zahtjevu. Jedan od načina zaobilaženja
+ne možemo jednostavno zatražiti proizvoljnu datoteku bez te ekstenzije. Jedan od prijašnjih načina zaobilaženja (u modernim PHP verzijama više nije primjenjiv)
-je tzv. Null Byte Injection, odnosno na kraju naziva datoteke jednostavno dodajemo %00
+je tzv. Null Byte Injection, odnosno na kraju naziva datoteke se dodaju null bajtovi "%00".
 <code>
 http://vulnerable_host/preview.php?file=../../../../etc/passwd%00
 </code>
+Funkcije napisane u C-u koje obrađuju ovaj unos bi ostatak niza nakon pojave nul bajta zanemarile, jer se nul bajt interpretira kao kraj stringa, te bi se ekstenzija .php učinkovito uklonila iz parisrane putanje.
@@ Line 58: / Line 58: @@
 </file>
-Ulaskom na stranicu i pritiskom na na "O meni" primjećujemo da se ime stranice pojavljuje u URL-u u parametru //page//:
+Ulaskom na stranicu i pritiskom na "O meni" primjećujemo da se ime stranice pojavljuje u URL-u u parametru //page//:
@@ Line 64: / Line 64: @@
-To nas upućuje da pokušamo u parametar page upisati ime neke osjetljive datoteke i pristupimo njezinim  podatcima. \\ Također, vidimo da su lozinke zapisane u datoteci /usr/local/lozinke.txt.
+To nas upućuje da pokušamo u parametar page upisati ime neke osjetljive datoteke i pristupimo njezinim  podacima. \\ Također, vidimo da su lozinke zapisane u datoteci /usr/local/lozinke.txt.
 U tražilicu pod page parametar ubacimo "../../../usr/local/lozinke.txt" i dobili smo rješenje:
@@ Line 76: / Line 76: @@
 Petru je bilo dosadno tijekom ljetnih praznika, i odlučio je napraviti jednostavnu web stranicu.
 Nije bio siguran kako bi pokrenuo svoju stranicu i gdje bi ju posluživao, ali se na kraju odlučio za svoje
-računalo gdje se nalaze razne datoteke. Petar ima Linux računalo i odlučio je posluživati svoju stranicu
+računalo gdje se nalaze razne datoteke. Petar ima Linux računalo i odlučio je posluživati svoju stranicu uz
-pomoću Apache HTTP servera. Petar je sebi napravio račun na stranici kao admin i njime se služi kad god
+pomoć Apache HTTP servera. Petar je sebi napravio račun na stranici kao admin i njime se služi kad god
 želi pristupiti stranici. Stranica nije skroz gotova i postoje neke greške, ali Petar je jako ponosan nju
 i siguran je da nije napravio nikakav propust.