IRA Inclusión Remota de Archivos o RFI (Remote File Inclusion) Imagen gratuita tomada de Internet

IRA Inclusión Remota de Archivos o RFI (Remote File Inclusion)

^Destacado

by Osabuena author page

No comment Seguridad Informática Miércoles, 14 Enero 2015

tamaño de la fuente disminuir el tamaño de la fuente aumentar tamaño de la fuente
Imprimir
Email

La Inclusión Remota de Archivos (o RFI por sus siglas en inglés), se da cuando se aprovecha una vulnerabilidad existente en el lenguaje PHP, basada en el uso de la función include(), permitiendo la inclusión de archivos ubicados en servidores remotos.

Por ejemplo, si incluyésemos un archivo que nos permitiera ejecutar comandos shell, es decir, utilizar un sitio web como una línea de comandos de linux/unix, podríamos realizar un defacement en un par de segundos, enviar correo masivo tipo spam, robar información confidencial, acceder a las bases de datos de un servidor, crear redirecciones, y en fin, todo lo que se nos pueda ocurrir.

Particularmente, este tipo de ataques, buscan abrir todas las instancias permitidas a nivel de acceso shell en el sitio web atacado. Lo cual podría ser bastante peligroso como para incluso, permitirle al atacante tomar posesión completa del servidor dado el caso, es decir, convertirse en el ROOT del servidor.

Prevenir la IRA

La forma de prevenir este tipo de ataques, es desde el desarrollo del software mismo. Cada vez que creemos un formulario, debemos hacer una validación exahustiva de qué es lo que estamos procesando en el formulario, ya que ingenuamente creemos que si solicitamos un nombre o un apellido, TODOS los visitantes van a ingresar este tipo de información, pero no consideramos en muchas ocasiones que el visitante puede querer apropiarse de nuestro server, y para ello va a incluir lo que sea en nuestro formulario activo.

Otra forma también utilizada, es configurando el archivo .htaccess, para que evalúe lo que viaja por la URL, de tal forma que pueda tener un bloqueo a ciertos tipos de cadenas utilizadas para este tipo de ataque en particular.