ARK. 1Słownik pojęćPodatności i klasy błędów
RFI (Remote File Inclusion)
Podatność, w której aplikacja PHP dołącza przez include/require plik wskazany przez atakującego z zewnętrznego serwera i wykonuje go jak własny kod. Wymaga zwykle włączonej dyrektywy allow_url_include; w WordPressie zdarza się w porzuconych wtyczkach — np. Canto < 3.0.5 przez parametr wp_abspath.
TAB. 1Nazwapo angielsku
| Po angielsku | remote file inclusion (RFI) |
|---|---|
| Po polsku | RFI (Remote File Inclusion) |
| Którą formą pisać | po angielsku Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim. |
| Inne formy | Remote File Inclusion · dołączenie pliku zdalnego · zdalne dołączanie plików |
| Odmiana | rodzaj męski (ten atak RFI) lub żeński (ta podatność RFI); skrót nieodmieniany |
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „Dzisiaj demonstrujemy atak RFI , który umożliwia dołączanie zdalnej złośliwej zawartości wraz z kodem PHP, JavaScript lub ewentualnie HTML.” | haker.edu.pl |
| EN | „LFI (Local File Inclusion) oraz RFI (Remote File Inclusion) to podatności typu „file inclusion”” | netbe.pl |
| EN | „Wordpress Plugin Canto < 3.0.5 - Remote File Inclusion (RFI) and Remote Code Execution (RCE)” | exploit-db.com |
TAB. 4Obok w tej dziedzinie6
| publicznie dostępne pliki wrażliwe | sensitive file exposure (.sql dumps, .env, .git) | Pliki, które nie powinny być osiągalne z przeglądarki, a leżą w katalogu strony: zrzuty bazy (.sql), archiwa kopii (backup.zip), pliki konfiguracyjne (.env, wp-config.php.bak), katalog .git. Boty skanują takie ścieżki masowo, a jedno pobranie daje hasła do bazy lub cały kod źródłowy. |
| race condition | race condition | Błąd wynikający z nieprawidłowej synchronizacji operacji wykonywanych równocześnie na współdzielonym zasobie — wynik zależy wtedy od kolejności zdarzeń. Szczególnym, najczęściej wykorzystywanym w atakach przypadkiem jest TOCTOU, gdy stan jest sprawdzany w innym momencie niż używany, co pozwala np. wielokrotnie zrealizować jednorazowy kupon. |
| Reflected XSS | reflected XSS | Odmiana XSS, w której skrypt przekazany w żądaniu (najczęściej w adresie URL) jest natychmiast odsyłany w odpowiedzi i wykonuje się tylko u ofiary, która kliknęła spreparowany link. |
| security through obscurity | security through obscurity | Opieranie ochrony na tym, że napastnik nie zna szczegółów systemu (ukryty adres logowania, zmieniony prefiks tabel, ukryta wersja WordPressa). Jako jedyna warstwa jest zawodne; jako dodatek do aktualizacji i silnego uwierzytelniania odsiewa część automatycznych ataków. |
| security.txt | security.txt | Plik tekstowy /.well-known/security.txt (standard RFC 9116) z danymi kontaktowymi do zgłaszania podatności: adres e-mail lub formularz, klucz PGP, polityka ujawniania i data ważności (pole Expires). Na WordPressie można go dodać ręcznie w katalogu strony albo wtyczką. |
| session fixation | session fixation | Atak, w którym napastnik narzuca ofierze znany sobie identyfikator sesji (np. w linku), a gdy ofiara się zaloguje, przejmuje jej uwierzytelnioną sesję. Ochroną jest wydawanie nowego identyfikatora po zalogowaniu (w PHP session_regenerate_id(true)); rdzeń WordPressa nie opiera logowania na sesji PHP, więc ryzyko dotyczy głównie wtyczek, które same używają $_SESSION. |