[pentest] Local File Inclusion

97번째 글. 1. Local File Inclusion (LFI) LFI 취약점은 언어, 웹서버, 프레임워크 종류에 상관없이 발생할 수 있는 취약점이다. 아래 기능 중 일부는 지정된 파일의 내용만 읽는 반면 다른 기능은 지정된 파일을 실행할 수 있다. 또한 원격 URL을 지정할 수 있는 경우도 있고, 백엔드 서버의 로컬 파일만 사용할 수 있는 경우도 있다. 파일을 읽는 것과 실행하는 것은 차이가 있을 수 있지만 파일을 읽는 행위만으로도 중요한 정보들(관리자 크리덴셜, 데이터베이스 계정 등)을 가져올 수 있음을 명심해야 한다. 소스코드를 읽을 수 있게 되면 화이트박스 테스트나 소스코드 오딧이 가능해지며 추가적인 취약점을 발견할 수도 있게 된다. 이 글에서는 PHP를 기준으로 설명한다. 함수 Read Co..
study/pentest 2022. 5. 1. 15:31
1