search
HomeWalkthroughsCheat Sheet

file-linesLocal File Inclusion (LFI)

hashtag
Introduction

La vulnerabilidad Local File Inclusion (LFI) es una vulnerabilidad de seguridad informática que se produce cuando una aplicación web no valida adecuadamente las entradas de usuario, permitiendo a un atacante acceder a archivos locales en el servidor web.

En muchos casos, los atacantes aprovechan la vulnerabilidad de LFI al abusar de parámetros de entrada en la aplicación web. Los parámetros de entrada son datos que los usuarios ingresan en la aplicación web, como las URL o los campos de formulario. Los atacantes pueden manipular los parámetros de entrada para incluir rutas de archivo local en la solicitud, lo que puede permitirles acceder a archivos en el servidor web. Esta técnica se conoce como “Path Traversal” y se utiliza comúnmente en ataques de LFI.

En el ataque de Path Traversal, el atacante utiliza caracteres especiales y caracteres de escape en los parámetros de entrada para navegar a través de los directorios del servidor web y acceder a archivos en ubicaciones sensibles del sistema.

Por ejemplo, el atacante podría incluir “../” en el parámetro de entrada para navegar hacia arriba en la estructura del directorio y acceder a archivos en ubicaciones sensibles del sistema.

Para prevenir los ataques LFI, es importante que los desarrolladores de aplicaciones web validen y filtren adecuadamente la entrada del usuario, limitando el acceso a los recursos del sistema y asegurándose de que los archivos sólo se puedan incluir desde ubicaciones permitidas. Además, las empresas deben implementar medidas de seguridad adecuadas, como el cifrado de archivos y la limitación del acceso de usuarios no autorizados a los recursos del sistema.

A continuación, se os proporciona el enlace directo a la herramienta que utilizamos al final de esta clase para abusar de los ‘Filter Chains‘ y conseguir así ejecución remota de comandos:

hashtag
Payloads

# Basic LFI
http://10.10.10.10/index.php?page=../../../../../etc/passwd

# Basic LFI ingresando ....// para intentar burlar str_replace
http://10.10.10.10/index.php?page=....//....//....//....//....//....//etc/passwd
http://10.10.10.10/index.php?page=....//....//....//....//....//....//etc/////passwd

# Método para intentar burlar función preg_match
http://10.10.10.10/index.php?page=....//....//....//....//....//....//etc/////passwd
http://10.10.10.10/index.php?page=....//....//....//....//....//....//etc/./passwd

hashtag
Wrappers

hashtag
Command Execution

hashtag
Interesting Files to discover

AnteriorPivoting, Tunneling and Port ForwardingSiguienteLaTeX Injection

Última actualización

¿Te fue útil?