Coders Conquer Security: Serie Share & Learn - Inclusión de archivos remotos

Quienes sigan esta serie de blogs notarán muchas similitudes entre la vulnerabilidad de inclusión de archivos remotos y las de inclusión de archivos locales y recorrido de rutas analizadas anteriormente. Sus causas raíz son similares, al igual que las soluciones recomendadas.

En muchos sentidos, la vulnerabilidad de inclusión de archivos remotos es mucho más peligrosa y fácil de explotar que su equivalente local. Por ello, debe detectarse y remediarse lo antes posible. O mejor aún, las aplicaciones web deberían diseñarse de forma que se evite su aparición desde el principio.

En este episodio, aprenderemos:

• Cómo los hackers explotan la vulnerabilidad de inclusión de archivos remotos
• Por qué permitir la inclusión de archivos remotos es peligroso
• Técnicas para solucionar este problema.

¿Cómo explotan los atacantes la inclusión de archivos remotos?

La vulnerabilidad de inclusión de archivos remotos aprovecha el comando o mecanismo de "inclusión dinámica de archivos" presente en la mayoría de los marcos de programación. Esta capacidad pretende permitir a los desarrolladores usar archivos ubicados en un servidor secundario para ejecutar actividades en el servidor de la aplicación. Obviamente, esto puede ser peligroso en manos equivocadas.

Los atacantes explotan esta capacidad buscando sitios web o aplicaciones que permitan la entrada de datos de usuario sin control, lo cual puede provenir de elementos como encabezados HTTP o áreas de entrada en formularios interactivos. Los usan como punto de partida para generar comandos de inclusión de archivos.

Por ejemplo, si un sitio usa la función GET para cargar páginas, como page = request.getParameter("page'); include page;, un atacante podría enviar una consulta usando el comando page, pero con la URL de un sitio que controle y la ruta al archivo que desea ejecutar. La consulta se envía al servidor y el archivo remoto se ejecuta en el host. La actividad se permite porque ahora forma parte de la aplicación confiable.

¿Por qué es peligrosa la vulnerabilidad de inclusión de archivos remotos?

El nivel de peligro que supone la inclusión de archivos remotos es extremadamente alto. A diferencia de las vulnerabilidades de inclusión de archivos locales, donde los archivos que ejecuta un atacante deben existir en un host y ser encontrados mediante prueba y error, no existen tales restricciones aquí. Obviamente, el atacante conoce la ubicación de los archivos que desea explotar, ya que probablemente residan en sus propias máquinas o sitios controlados. Los archivos pueden ser elegidos a mano y no necesitan existir en la máquina objetivo antes del ataque. Incluso pueden ser scripts escritos específicamente para explotar un host remoto.

En resumen, una vez que un atacante logra encontrar y explotar una vulnerabilidad de inclusión de archivos remotos, nada le impide obtener el control total de una aplicación o incluso de un sitio completo. Ciertamente, ningún dato almacenado allí estará a salvo de su incursión.

Eliminación de la vulnerabilidad de inclusión de archivos remotos

Nunca permita que la entrada del usuario pase directamente a un comando de inclusión de archivos para su ejecución. En su lugar, utilice un mapa de referencia indirecta de comandos y ejecute solo los comandos desde allí. Un mapa de referencia indirecta asigna la entrada de usuario no confiable a un conjunto de valores confiables codificados en el servidor. Asegúrese de incluir en una lista blanca todas las áreas donde los usuarios puedan ingresar datos, sin olvidar los encabezados HTTP, los parámetros de formulario e incluso las cookies. Hacer esto cerrará cualquier ventana que un atacante pueda usar para crear un comando de inclusión de archivos.

Como beneficio adicional, la sanitización y validación adecuadas del contenido generado por el usuario y el uso de mapas de referencia para ejecutar comandos no solo eliminarán la vulnerabilidad de inclusión de archivos remotos, sino también otras muchas, incluido el peligroso primo de este error: el exploit de inclusión de archivos locales y recorrido de rutas.

Más información sobre la inclusión de archivos remotos

Para seguir leyendo, puede consultar la guía de referencia de OWASP sobre exploits de inclusión de archivos remotos. También puede poner a prueba sus nuevos conocimientos defensivos con la demo gratuita de la plataforma Secure Code Warrior, que entrena a equipos de ciberseguridad para convertirse en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad y otras amenazas, visite el blog de Secure Code Warrior.