Por Marcos Ferreira *
A injeção de códigos remotos é uma das vulnerabilidades mais exploradas nas aplicações web.
Os atacantes e especialistas em segurança digital estão sempre tentando encontrar esse tipo de vulnerabilidade durante testes e auditorias. Existem diversos tipos de ataques que exploram a execução de comandos remotos ou a injeção de códigos, sendo um deles o Server Side Includes (SSI) Injection.
O SSI inclui uma funcionalidade muito útil nas aplicações web. Ajuda você a adicionar conteúdo gerado dinamicamente a uma página estática existente, sem precisar atualizar a página inteira. Se você precisa atualizar uma pequena parte de uma página web diversas vezes no dia sem atualizar a página inteira, pode utilizar o SSI. Inclusive se sua página usa a extensão.shtml, então você provavelmente utiliza o SSI.
A extensão.shtml normalmente é usada para identificar as páginas que contenham essas funcionalidades. Infelizmente o uso dessa extensão não é obrigatório e por isso, não ter encontrado qualquer extensão .shtml não significa necessariamente que a sua página está imune a ataques de SSI Injection.
Para explorar essa vulnerabilidade o atacante envia um comando malicioso para sua aplicação Web, como no SQL Injection, porém em vez de ser executado pelo banco de dados, esse comando será executado pelo servidor web. Caso a exploração da vulnerabilidade seja bem sucedida, o atacante poderá executar comandos no sistema operacional ou incluir conteúdo de um arquivo restrito na próxima vez que a página é carregada.
Se ficou com dúvidas sobre a vulnerabilidade no SSI, deixe um comentário que será um prazer responde-las.
* Marcos Ferreira | Especialista em Segurança da Informação na TrustSign
