Dangerous File Inclusion

HTML ファイルに動的にインクルードされるファイルが未検証のユーザー入力によって制御されることを許すと、悪意あるコードが実行される場合があります。

最近の多くの Web スクリプト言語では、1 つのカプセル化ファイル内にソースファイルをインクルードする機能を使用することによって、コードの再利用やモジュール化が可能です。多くの場合、この機能は標準的なルックアンドフィールをアプリケーションに適用したり (テンプレート化)、コンパイル済みコードを用いることなく機能を共有したり、より管理しやすい小さなファイルにコードを分割したりするために使用されます。インクルードファイルは親ファイルの一部として解釈され、同様の方法で実行されます。File Inclusion の脆弱性は、インクルードファイルのパスが未検証のユーザー入力によって制御された場合に発生します。

例 1: 次のコードでは、ユーザー指定のテンプレート名を取得し、レンダリングされる HTML ページに追加しています。

...
ClientScript.RegisterClientScriptInclude("RequestParameterScript", HttpContext.Current.Request.Params["includedURL"]);
...

Example 1 では、攻撃者は悪意ある値を includedURL に指定することによって、動的な include ステートメントを完全に制御できます。その結果、プログラムは外部サイトからのファイルをインクルードしてしまいます。

攻撃者が有効なファイルを動的な include ステートメントに指定した場合、.NET はそのファイルの内容をユーザーに送信される HTML ファイルに挿入します。web.config などの平文のファイルである場合には、そのファイルは HTML 出力の一部としてレンダリングされる可能性があります。より深刻なケースでは、攻撃者が自身の制御下にあるリモート サイトへのパスを指定できる場合、動的な include ステートメントでは攻撃者が指定した任意の悪意あるコードが実行されることとなります。

PHP に動的にインクルードされるファイルが未検証のユーザー入力によって制御されることを許すと、悪意あるコードが実行される場合があります。

最近の多くの Web スクリプト言語では、1 つのカプセル化ファイル内にソースファイルをインクルードする機能を使用することによって、コードの再利用やモジュール化が可能です。多くの場合、この機能は標準的なルックアンドフィールをアプリケーションに適用したり (テンプレート化)、コンパイル済みコードを用いることなく機能を共有したり、より管理しやすい小さなファイルにコードを分割したりするために使用されます。インクルードファイルは親ファイルの一部として解釈され、同様の方法で実行されます。File Inclusion の脆弱性は、インクルードファイルのパスが未検証のユーザー入力によって制御された場合に発生します。

File Inclusion の脆弱性は、最も数が多く、被害の深刻な PHP アプリケーションの脆弱性の 1 つです。PHP 4.2.0 より前のバージョンでは、PHP は register_globals オプションがデフォルトで有効に設定された状態で頒布されていたため、攻撃者は簡単に内部サーバー変数を上書きできました。register_globals オプションを無効にすることによってプログラムが File Inclusion の脆弱性にさらされる危険性は制限できますが、この問題は最近の PHP アプリケーションでも発生しています。

例 1: 次のコードは、テンプレートで $server_root と定義されているアプリケーションの下にファイルをインクルードしています。

...
<?php include($server_root . '/myapp_header.php'); ?$gt;
...

register_globals が on に設定されている場合、攻撃者はリクエストパラメーターとして $server_root を指定することによって $server_root の値を上書きできるため、動的な include ステートメントを部分的に制御できるようになります。

例 2: 次のコードでは、ユーザー指定のテンプレート名を取得し、レンダリングされる PHP ページにそのテンプレート名を追加しています。

...
<?php include($_GET['headername']); ?$gt;
...

Example 2 では、攻撃者は悪意ある値を headername に指定することによって、動的な include ステートメントを完全に制御できます。その結果、プログラムは外部サイトからのファイルをインクルードしてしまいます。

攻撃者が有効なファイルを動的な include ステートメントに指定した場合、そのファイルの内容は PHP インタプリタに渡されます。/etc/shadow などの平文のファイルである場合には、そのファイルは HTML 出力の一部としてレンダリングされる可能性があります。より深刻なケースでは、攻撃者が自身の制御下にあるリモート サイトへのパスを指定できる場合、動的な include ステートメントでは攻撃者が指定した任意の悪意あるコードが実行されることとなります。