Jak działa Atak Lfi Local File Inclusion?
Czym jest atak LFI
Local File Inclusion to luka w kodzie strony, najczęściej w PHP, gdzie skrypt wczytuje pliki na podstawie parametru z URL bez odpowiedniej walidacji. Atakujący podmienia ścieżkę i każe serwerowi wczytać plik konfiguracyjny, logi albo nawet złośliwy kod wgrany wcześniej innym sposobem.
Dla właściciela strony to nie jest abstrakcyjny temat dla programistów. Skuteczny atak LFI kończy się przejęciem serwera, wstrzyknięciem spamu SEO w kod strony albo przekierowaniami na obce domeny. Google to widzi i potrafi oznaczyć witrynę jako zainfekowaną, co blokuje ruch organiczny z dnia na dzień.
Problem dotyczy głównie starych wtyczek, przestarzałych CMS-ów i customowego kodu pisanego bez przemyślenia bezpieczeństwa. Sklepy i strony na WordPressie z nieaktualizowanymi pluginami są tu w grupie podwyższonego ryzyka.
Nie warto mylić LFI z RFI (Remote File Inclusion) — RFI wczytuje pliki z zewnętrznego serwera, LFI operuje na plikach lokalnych, ale skutek bywa podobny: przejęcie kontroli nad aplikacją.
W praktyce agencje SEO i webmasterzy powinni traktować LFI jako część audytu technicznego strony, nie tylko jako temat dla działu IT. Skanowanie pod kątem takich podatności to element dbania o pozycje w wyszukiwarce, bo zhakowana strona traci widoczność szybciej niż zdobywała ją miesiącami.