Typ útoku
Path traversal a file inclusion
Útočník manipuluje cestu k súboru alebo importovaný názov a číta, zapisuje či vykonáva obsah mimo povoleného adresára.
Prečo je tento scenár dôležitý
Sekvencie ako ../, alternatívne kódovanie, absolútne cesty, symlinky alebo wrapper schémy môžu obísť slabú validáciu. Dopad zahŕňa čítanie konfigurácií a tajomstiev, prepísanie súborov alebo local/remote file inclusion.
Aplikácia má používať serverom určené identifikátory namiesto ciest, canonicalization, allowlist adresárov a typov, izolované úložisko, minimálne oprávnenia a testovanie kódovaných variantov.
Scenár používa MITRE ATT&CK® ako referenčný model. Ide o odbornú interpretáciu SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Relevantné taktiky ATT&CK
- Collection
- Credential Access
- Initial Access
- Stealth
Relevantné techniky ATT&CK
Referenčné rámce
Technológie a vendori SecTec
Nasledujúca hierarchia je odvodená zo schváleného mapovania ATT&CK na technológie a technológií na vendorov.