Coders Conquer Security: Share & Learn-Serie – Remote File Inclusion

Wer diese Blogserie verfolgt, wird viele Ähnlichkeiten zwischen der Remote-File-Inclusion-Schwachstelle und den zuvor besprochenen Schwachstellen für Local File Inclusion und Path Traversal bemerken. Die Ursachen sind ähnlich, ebenso wie die empfohlenen Lösungen.

Die Remote-File-Inclusion-Schwachstelle ist in vielerlei Hinsicht deutlich gefährlicher und zudem einfacher auszunutzen als ihr lokales Pendant. Daher sollte sie so schnell wie möglich identifiziert und behoben werden. Noch besser ist es, Webanwendungen von Grund auf so zu konzipieren, dass sie gar nicht erst entstehen kann.

In dieser Folge erfahren Sie:

• Wie Hacker die Remote-File-Inclusion-Schwachstelle ausnutzen
• Warum Remote File Inclusion so gefährlich ist
• Methoden zur Behebung dieses Problems.

Wie nutzen Angreifer Remote File Inclusion aus?

Die Remote-File-Inclusion-Schwachstelle nutzt den Befehl oder Mechanismus zur „dynamischen Dateieinbindung“ aus, der in den meisten Programmier-Frameworks existiert. Diese Funktion soll es Entwicklern ermöglichen, Dateien von einem sekundären Server zu laden, um Aktivitäten auf dem Anwendungsserver auszuführen. In den falschen Händen ist dies natürlich gefährlich.

Angreifer nutzen diese Fähigkeit aus, indem sie Websites oder Anwendungen finden, die unkontrollierte Benutzereingaben zulassen – etwa über HTTP-Header oder Eingabefelder in interaktiven Formularen. Dies dient ihnen als Ausgangspunkt, um Befehle zur Dateieinbindung zu generieren.

Wenn eine Website beispielsweise die GET-Funktion zum Laden von Seiten verwendet, etwa page = request.getParameter("page'); include page;, könnte ein Angreifer eine Abfrage mit dem page-Befehl senden, jedoch mit der URL einer von ihm kontrollierten Website und dem Pfad zu der Datei, die er ausführen möchte. Die Abfrage wird an den Server weitergeleitet und die Remote-Datei auf dem Host ausgeführt. Da sie nun Teil der vertrauenswürdigen Anwendung ist, wird die Aktivität zugelassen.

Warum ist die Remote-File-Inclusion-Schwachstelle so gefährlich?

Das Gefahrenpotenzial von Remote File Inclusion ist extrem hoch. Im Gegensatz zu Local-File-Inclusion-Schwachstellen, bei denen die vom Angreifer ausgeführten Dateien auf dem Host existieren und durch Ausprobieren gefunden werden müssen, gibt es bei Remote File Inclusion keine solchen Einschränkungen. Der Angreifer kennt den Speicherort der Dateien, da sie sich meist auf seinen eigenen Systemen oder kontrollierten Websites befinden. Die Dateien können gezielt ausgewählt werden und müssen vor dem Angriff nicht auf dem Zielsystem vorhanden sein. Sie können sogar speziell geschriebene Skripte enthalten, um den Remote-Host anzugreifen.

Kurz gesagt: Sobald ein Angreifer eine Remote-File-Inclusion-Schwachstelle findet und ausnutzt, kann er die vollständige Kontrolle über eine Anwendung oder sogar eine ganze Website erlangen. Sämtliche dort gespeicherten Daten sind dann nicht mehr vor unbefugten Zugriffen sicher.

Beseitigung der Remote-File-Inclusion-Schwachstelle

Erlauben Sie niemals, dass Benutzereingaben direkt an einen Befehl zur Dateieinbindung weitergegeben werden. Verwenden Sie stattdessen eine indirekte Referenzliste für Befehle und führen Sie nur Befehle aus dieser Liste aus. Eine solche Liste ordnet unsichere Benutzereingaben fest kodierten, vertrauenswürdigen Werten auf dem Server zu. Whitelisten Sie alle Bereiche für Benutzereingaben – vergessen Sie dabei nicht HTTP-Header, Formularparameter und Cookies. Damit schließen Sie die Sicherheitslücke, die Angreifer für Dateieinbindungsbefehle nutzen könnten.

Zusätzlich gilt: Eine saubere Validierung und Bereinigung von nutzergenerierten Inhalten sowie die Verwendung von Referenzlisten zur Befehlsausführung beseitigen nicht nur die Remote-File-Inclusion-Schwachstelle, sondern auch viele andere, einschließlich des gefährlichen Verwandten: der Local-File-Inclusion- und Path-Traversal-Exploits.

Weitere Informationen zu Remote File Inclusion

Weiterführende Informationen finden Sie im Referenzhandbuch von OWASP zu Remote-File-Inclusion-Exploits. Sie können Ihr neu erworbenes Wissen auch mit der kostenlosen Demo der Secure Code Warrior-Plattform testen, die Cybersicherheitsteams zu Experten ausbildet. Um mehr über die Abwehr dieser und anderer Bedrohungen zu erfahren, besuchen Sie den Secure Code Warrior-Blog.