File Upload Vulnerability, ataupun diketahui selaku Arbitrary File Upload( AFU), ataupun juga Unrestricted File Upload.
Digambarkan pada saat skrip untuk upload bisa jadi rentan terhadap unggahan file yang tidak dibatasi. Bermacam aplikasi website membolehkan pengguna untuk mengunggah file semacam foto, dokumen pdf, suara, dll. File yang diunggah bisa memunculkan resiko yang signifikan bila tidak ditangani dengan benar. Penyerang jarak jauh bisa mengirim permintaan POST multipart/ form- data dengan nama file yang terbuat khusus serta mengeksekusi kode arbitrer.
Guna unggah file merupakan sasaran favorit untuk heker, sebab mereka mewajibkan web kamu mengambil sebagian besar informasi serta menulisnya ke disk.
Perihal ini memberi penyerang peluang buat menyelundupkan skrip beresiko ke server kamu. Bila mereka kemudian bisa menciptakan metode guna mengeksekusi skrip tersebut, mereka bisa membahayakan segala sistem kamu.
Konsep dan Cara Kerja
Ayo kita amati gimana suatu serangan dapat bekerja. Ini didasarkan pada contoh dunia nyata/ dalam permasalahan yang sempat saya temui secara nyata.
Misal mas heker merupakan peretas yang sudah mendaftar ke situs website yang menjalankan sistem manajemen partner bisnis.
Dia sudah mencermati sebagian perihal tentang guna unggah foto profil web.
Mula- mula, file yang diunggah tidak ditukar namanya selaku bagian dari proses unggah. Nama file muncul di URL foto profil dikala dipublikasikan.
Kedua, pengecekan jenis file dilakukan dalam JavaScript.
Mas heker memilih file berbentuk php shell backdoor yang bernamakan frmsec.php. Kala shell website ini dieksekusi oleh PHP, shell akan menjalankan perintah apa pun sesuai kode/ fitur yang terdapat dalam shell tersebut.
Dia menonaktifkan JavaScript di browsernya, serta mengunggah frmsec.php selaku foto profilnya. Sebab JavaScript dinonaktifkan, jenis file tidak menjadi halangan.
Tidak mengherankan, profilnya nampak rusak. file yang ia unggah bukan foto yang valid. Tetapi, sebenarnya skrip saat ini hidup di server.
Kemudian mas heker Membuka foto "rusak" tersebut di tab baru dan menyebabkan skrip dieksekusi.
Dan yup, Mas heker memperoleh akses backdoor di web tersebut.
Unggahan file menunjukkan metode gampang untuk penyerang buat menyuntikkan kode berbahaya ke dalam aplikasi kamu. kamu perlu memastikan file yang diunggah disimpan sejauh mungkin hingga benar- benar aman, ataupun kamu berisiko membuat rute yang gampang untuk membuat sistem kamu disusupi.
Heker pro player umumnya mengeksploitasi kombinasi kerentanan dikala menyerang web kamu, mengunggah kode berbahaya ke server merupakan langkah awal dalam pedoman peretas. Langkah berikutnya merupakan menciptakan metode buat mengeksekusi kode berbahaya.
Apalagi perusahaan besar juga sering jatuh ke dalam kerentanan ini, terutama bila mereka melaksanakan basis kode lama yang kompleks.
Perlindungan
Setiap masukan yang datang dari pengguna wajib diperlakukan dengan kecurigaan hingga dipastikan aman. Perihal ini paling utama berlaku untuk file yang diunggah, sebab aplikasi kamu umumnya akan memperlakukannya selaku gumpalan data yang besar pada awalnya, memungkinkan penyerang menyelundupkan seluruh tipe kode berbahaya yang mereka mau ke sistem kamu.
1. Pisahkan Unggahan kamu
Unggahan file biasanya dimaksudkan untuk tidak aktif. Kecuali kamu sedang membangun tipe situs website yang sangat spesial, kamu umumnya mengharapkan file foto, video, ataupun dokumen, daripada kode yang bisa dieksekusi. Bila ini perkaranya, memastikan file yang diunggah ditaruh terpisah dari kode aplikasi merupakan pertimbangan keamanan utama.
Pertimbangkan guna memakai penyimpanan berbasis cloud ataupun sistem manajemen konten buat menaruh file yang diunggah. Ataupun, bila kamu percaya dengan keahlian kamu untuk menskalakan backend kamu, kamu bisa menulis file yang diunggah ke database kamu. Kedua pendekatan ini mencegah eksekusi file yang bisa dieksekusi secara tidak sengaja.
Apalagi menaruh file yang diunggah di server file jarak jauh ataupun di partisi disk terpisah membantu, dengan mengisolasi potensi kerusakan yang bisa dilakukan file jahat.
2. Pastikan File Unggah Tidak Bisa Dieksekusi
Bagaimanapun kamu akhirnya menaruh file yang kamu unggah, jika ditulis ke disk, pastikan file tersebut ditulis sedemikian rupa sehingga sistem operasi tahu untuk tidak memperlakukannya selaku kode yang bisa dieksekusi. Proses server website kamu sepatutnya mempunyai izin baca serta tulis pada direktori yang digunakan untuk menaruh konten yang diunggah, namun seharusnya tidak dapat mengeksekusi file apa pun di sana. Bila kamu memakai sistem operasi berbasis Unix, yakinkan file yang diunggah ditulis tanpa tanda "yang bisa dieksekusi" di perizinan file.
3. Ganti Nama File yang di Unggah
Menulis ulang ataupun mengaburkan nama file akan mempersulit penyerang untuk menciptakan file berbahaya sehabis mereka mengunggahnya. File yang diunggah biasanya tersedia kembali melalui HTTP. apa gunanya mengunggah foto bila tidak ada di mana pun di web kamu, misalnya? Terapkan metode tipuan disaat menyajikan konten yang diunggah kembali di browser, sehingga konten tidak dirujuk dengan namanya dari unggahan asli.
4. Validasi Format serta Ekstensi File
Pastikan kamu mengecek ekstensi file dari file yang diunggah terhadap whitelist tipe file yang diizinkan. Lakukan ini di sisi server, sebab pengecekan sisi klien dapat dielakkan.
5. Validasi Header Tipe Konten
File yang diunggah dari browser akan disertai dengan Content- Type header. Pastikan tipe yang disediakan tercantum dalam whitelist dari tipe file yang diizinkan.( Perhatikan kalau skrip ataupun proxy sederhana bisa memalsukan tipe file, jadi proteksi ini, meskipun berguna, tidak cukup guna menghindari heker jago.)
6. Gunakan Pemindai Virus
Pemindai virus sangat mahir dalam mengenali file berbahaya yang menyamar selaku jenis file yang berbeda, jadi bila kamu menerima unggahan file, sangat dianjurkan buat menjalankan pemindaian virus terbaru.
7. Cek Ukuran File
Metode murah serta gampang guna melaksanakan serbuan penolakan layanan merupakan dengan mengunggah file yang sangat besar, dengan harapan server kehabisan ruang. Pastikan kamu menempatkan ukuran maksimum pada ukuran file yang kamu terima.
8. Bersihkan Nama File
Nama file yang sangat panjang bisa disalahgunakan guna mengeksploitasi kerentanan buffer overflow. Demikian pula, file dengan karakter spesial dalam nama bisa menimbulkan perilaku aneh, bergantung pada gimana mereka diperlakukan oleh perangkat lunak kamu. Ini merupakan praktik yang baik untuk memastikan nama file dibersihkan saat sebelum ditulis ke disk.
9. Hati- hati dengan File Terkompresi
Bila web kamu menerima konten terkompresi, semacam file zip, ketahuilah bahwa bisa jadi saja membuat file arsip berbahaya yang dirancang untuk mogok ataupun membuat program ataupun sistem yang membacanya tidak berguna. Bom zip dibuat sehingga membongkarnya hendak memakan banyak waktu, ruang disk, ataupun memori. biasanya, zip akan tumbuh jadi besar di disk dikala dibongkar. Jangan berurusan dengan konten terkompresi kecuali kamu benar- benar harus melakukannya, serta pastikan untuk melaksanakan pemindai anti- virus bila kamu melakukannya!
Dalam contoh permasalahan diatas, kita mempraktekkan resiko kritis dalam hal ini merupakan akses shell & backdoor yang tertanam.
Kerentanan pada file upload pastinya tidak cuma semudah dan sebatas itu saja, dalam sebagian permasalahan, kita bisa jadi hanya bisa sebatas mentriggernya selaku kerentanan yang bersifat harus dilanjutkan eksekusinya semacam xss, file yang terdownload, 500 internal server error, serta banyak lagi yang membutuhkan tindakan khusus berupa bypass terhadap Web Application Firewall( WAF) guna memperoleh kerentanan yang lebih critical.
Sekian, semoga bermanfaat!
