Coders Conquer Security: Share & Learn Series – Local File Inclusion und Path Traversal

Im Gegensatz zu vielen anderen Schwachstellen erfordert die Ausnutzung von Local File Inclusion und Path Traversal für böswillige Zwecke einen ausreichend qualifizierten Angreifer, einiges an Zeit und vielleicht auch ein wenig Glück. Das bedeutet jedoch nicht, dass diese Schwachstelle ignoriert werden kann. Erfahrene Angreifer können sie nutzen, um interne Dateien gegen ein Unternehmen zu verwenden, die Verzeichnisstruktur abzubilden oder sogar Passwörter und Benutzerinformationen zu stehlen, die für gefährliche Folgeangriffe verwendet werden können.

In dieser Folge erfahren Sie:

• Wie Hacker Local File Inclusion und Path Traversal ausnutzen
• Warum die Zulassung von uneingeschränktem Local File Inclusion und Path Traversal gefährlich sein kann
• Richtlinien und Techniken, die zur Identifizierung und Behebung dieses Problems eingesetzt werden können.

Wie nutzen Angreifer Local File Inclusion und Path Traversal aus?

Der klassische TV-Detektiv Columbo pflegte kurz vor der entscheidenden Information, die den Fall löste, immer zu sagen: „Nur eine Sache noch“. Es wirkte in diesem Moment nebensächlich und wurde vom Verdächtigen fast immer ignoriert, erwies sich aber stets als dessen Untergang. Local File Inclusion und Path Traversal sind ganz ähnlich.

Local File Inclusion und Path Traversal nutzen den dynamischen Datei-Include-Mechanismus, der in den meisten Programmier-Frameworks wie ASP, JSP und PHP-Skripten vorhanden ist. Bei Local File Inclusion schleust ein Angreifer den Namen einer auf dem lokalen Server vorhandenen Datei in einen Bereich einer Webanwendung ein, etwa in einen Header oder ein Formulareingabefeld. Die Anwendung verarbeitet die Haupteingabe wie gewohnt, aber auch den include(page)-Befehl oder ähnliches. Bei Path Traversal definiert der Angreifer den Pfad zu einer verdächtigen Datei, normalerweise unter Verwendung der Punkt-Punkt-Schrägstrich-Zeichen (../) als Variablen. Es ist wie bei Columbo: Den Hacker interessiert der erste Teil des Arguments nicht wirklich. Es ist lediglich ein Mittel, um am Ende „nur eine Sache noch“ hinzuzufügen.

In beiden Fällen muss der Angreifer normalerweise eine beträchtliche Menge an „Trial and Error“ betreiben. Wenn er nicht sehr genau weiß, wie die Website strukturiert ist, kann das Erraten von Pfadkonfigurationen und Dateinamen lange dauern. Allerdings folgen die meisten Websites bestimmten Mustern und haben mehr oder weniger ähnliche Verzeichnisse und Dateinamen. Es könnte also weniger Zeit in Anspruch nehmen, als Sie denken. Und da die Beute potenziell sehr lukrativ ist, gibt es für Hacker einen großen Anreiz, Local File Inclusion und Path Traversal auszunutzen, sobald sie diese Schwachstellen gefunden haben.

Warum sind Local File Inclusion und Path Traversal gefährlich?

Local File Inclusion und Path Traversal sind gefährlich, da sie Angreifern den Zugriff auf sensible oder kritische Dateien ermöglichen können. Bei Datendateien besteht die Gefahr, dass der Hacker wertvolle Informationen wie Benutzerpasswörter oder andere persönliche Daten erlangt. Ein primäres Ziel sind oft Passwort- oder Benutzerkonfigurationsdateien, da diese den Zugriff auf den Rest der Website ermöglichen würden. Auch Datenbanken sind Hauptziele. Im schlimmsten Fall könnten Local File Inclusion und Path Traversal es einem Angreifer ermöglichen, den gesamten Inhalt einer Datenbank zu stehlen.

Bei ausführbaren Dateien besteht die Gefahr, dass der Zugriff es einem Angreifer ermöglicht, böswillige Aktivitäten durchzuführen, wie etwa Teile einer Website zu zerstören oder durch die Verschwendung von Systemressourcen eine Art internen Denial-of-Service-Angriff zu starten. Das volle Ausmaß der Gefahr ist jedoch nur durch den Einfallsreichtum und das Können des Angreifers sowie durch die Dateien begrenzt, auf die er auf dem Zielserver zugreifen kann.

Beseitigung der Bedrohung durch Local File Inclusion und Path Traversal

Die Gefahr durch Local File Inclusion und Path Traversal kann durch gute Cybersicherheitspraktiken beseitigt werden. Das Wichtigste ist, niemals Benutzereingaben in „File Include“-Befehlen oder ähnlichen Funktionen zuzulassen. Wenn eine Anwendung dies zulassen muss, geben Sie die Eingabe nicht direkt weiter. Verwenden Sie stattdessen eine indirekte Referenzzuordnung. Eine solche Zuordnung nimmt die Benutzereingabe entgegen und weist sie einem Satz fest codierter, vertrauenswürdiger Werte zu, die dann sicher verwendet werden können.

Wie bei vielen anderen Schwachstellen sollten Sie allen benutzergesteuerten Eingabebereichen wie Cookies, HTTP-Headern und Formularen besondere Aufmerksamkeit schenken. Zulässige Eingaben sollten auf einer Whitelist stehen, alles andere sollte explizit abgelehnt werden. Wo dies nicht möglich ist, verwenden Sie eine Eingabevalidierung, um die zulässigen Werte – wie Zahlen, alphanumerische Werte usw. – streng zu reglementieren.

Weitere Informationen zu Local File Inclusion und Path Traversal

Für weiterführende Informationen können Sie einen Blick in den OWASP Testing Guide für Local File Inclusion und Path Traversal werfen. Sie können Ihr neu gewonnenes Verteidigungswissen auch mit der kostenlosen Demo der Secure Code Warrior-Plattform testen, die Cybersicherheitsteams zu ultimativen Cyber-Warriors ausbildet. Um mehr darüber zu erfahren, wie Sie diese Schwachstelle und eine ganze Reihe anderer Bedrohungen abwehren können, besuchen Sie den Secure Code Warrior-Blog.