LFI Local File Inclusion

Description¶

Les failles d'inclusion de fichiers locaux (LFI) se produisent lorsqu'une application web inclut des fichiers locaux sans validation adéquate des entrées utilisateur. Cela permet à un attaquant d'inclure des fichiers arbitraires du serveur dans l'application, pouvant entraîner la divulgation de fichiers sensibles, l'exécution de code malveillant, et d'autres conséquences graves.

Exemple d'Attaque LFI¶

Scénario d'attaque :

• Une application web inclut dynamiquement un fichier en fonction des paramètres fournis par l'utilisateur via une URL, par exemple https://example.com/index.php?page=home.

Exemple de code vulnérable :

<?php 
$page = $_GET['page']; 
include($page . ".php"); 
?>

Exploitation :

• Un attaquant peut manipuler le paramètre page pour inclure des fichiers sensibles ou des fichiers de configuration, par exemple https://example.com/index.php?page=../../../../etc/passwd.

GET /index.php?page=../../../../etc/passwd HTTP/1.1 
Host: example.com

Prévention des Attaques LFI¶

Validation et Sanitation des Entrées :

• Valider et assainir toutes les entrées utilisateur pour s'assurer qu'elles ne contiennent pas de caractères spéciaux ou de chemins relatifs.

$whitelist = ['home', 'about', 'contact']; 
$page = $_GET['page']; 
if (!in_array($page, $whitelist)) { 
die("Page non autorisée."); 
} 
include($page . ".php");

Utilisation de Chemins Absolus :

• Utiliser des chemins absolus pour les fichiers inclus afin d'empêcher les manipulations de chemins relatifs.

$page = basename($_GET['page']); 
include("/var/www/html/pages/" . $page . ".php");

Configuration du Serveur :

• Configurer le serveur pour restreindre l'accès aux fichiers critiques et sensibles.

# Exemple de configuration Apache 
<Directory /var/www/html> 
Options -Indexes 
AllowOverride None 
</Directory>

Détection des Failles LFI¶

Revue de Code :

• Examiner le code source pour identifier les inclusions de fichiers basées sur des entrées utilisateur sans validation adéquate.

Tests Manuels :

• Effectuer des tests manuels en manipulant les paramètres de requêtes pour inclure des fichiers arbitraires et vérifier la présence de vulnérabilités.

Utilisation d'Outils de Sécurité :

• Utiliser des outils de sécurité tels que Burp Suite, OWASP ZAP, ou des scanners spécifiques pour détecter les failles LFI.

Exemples de Prévention¶

Validation stricte des Entrées :

$allowed_pages = ['home', 'about', 'contact']; 
$page = $_GET['page']; 
if (!in_array($page, $allowed_pages)) { 
die("Page non autorisée."); 
} 
include($page . ".php");

Utilisation de Fonctions Sécurisées :

$page = filter_input(INPUT_GET, 'page', FILTER_SANITIZE_STRING); 
$allowed_pages = ['home', 'about', 'contact']; 
if (!in_array($page, $allowed_pages)) { 
die("Page non autorisée."); 
} 
include(__DIR__ . "/pages/" . $page . ".php");

Contrôle des Chemins :

$page = realpath(__DIR__ . "/pages/" . $_GET['page'] . ".php"); 
$base_dir = realpath(__DIR__ . "/pages/"); 
if (strpos($page, $base_dir) !== 0 || !file_exists($page)) { 
die("Page non autorisée."); 
} 
include($page);