Lỗ hổng File Inclusion là gì? Cơ chế và cách phòng chống

1. Lỗ hổng File Inclusion là gì?

Lỗ hổng File Inclusion là lỗi bảo mật ứng dụng web xảy ra khi hệ thống cho phép người dùng đưa tệp tin lạ hoặc đường dẫn độc hại vào câu lệnh gọi file mà không kiểm tra kỹ lưỡng. Khi khai thác thành công, kẻ tấn công có thể đọc tệp cấu hình nhạy cảm, đánh cắp khóa bí mật hoặc thực thi mã độc từ xa ngay trên máy chủ. Lỗ hổng File Inclusion thường phát sinh do lập trình viên bỏ qua khâu lọc dữ liệu đầu vào, để tham số của người dùng điều khiển trực tiếp file mà ứng dụng nạp vào.

Về bản chất, lỗ hổng bảo mật là những kẽ hở trong thiết kế phần mềm, và File Inclusion là một nhánh phát sinh khi ứng dụng gọi file động dựa trên tham số do người dùng kiểm soát. Tổ chức MITRE phân loại chính thức lỗi này dưới mã CWE-98: Improper Control of Filename for Include/Require Statement in PHP Program, thuộc nhóm lỗi cùng họ với các cuộc tấn công tiêm dữ liệu quen thuộc như SQL injection hay XSS, đều xuất phát từ việc tin tưởng dữ liệu đầu vào mà không kiểm chứng. Trong các ngôn ngữ web phổ biến, đặc biệt là PHP, lập trình viên thường dùng hàm gọi file động để tái sử dụng mã nguồn hoặc nạp thành phần giao diện linh hoạt.

Vấn đề xuất hiện khi ứng dụng nhận thẳng giá trị tham số mà không đối chiếu với danh sách trắng. Lúc đó máy chủ sẽ nạp bất kỳ đường dẫn nào kẻ tấn công chỉ định, mở đường cho việc rò rỉ toàn bộ cấu trúc dữ liệu nội bộ hoặc biến máy chủ thành nơi phát tán mã độc. Nếu tài khoản chạy ứng dụng lại có quyền hạn quá cao trên hệ điều hành, thiệt hại có thể lan tới toàn bộ hạ tầng công nghệ thông tin của tổ chức.

2. Phân loại các biến thể của lỗ hổng File Inclusion

Dựa trên nguồn gốc của tệp tin bị nạp trái phép, giới bảo mật chia lỗ hổng File Inclusion thành hai biến thể chính là Local File Inclusion và Remote File Inclusion. Cả hai đều tấn công ở tầng ứng dụng, nhưng khác nhau về vị trí tệp tin, điều kiện khai thác và mức độ tàn phá.

2.1. Local File Inclusion (LFI) là gì?

Local File Inclusion là biến thể xảy ra khi ứng dụng bị đánh lừa để nạp và xử lý các tệp tin có sẵn ngay trên máy chủ. Kẻ tấn công lợi dụng tham số đầu vào để trỏ tới những tệp cấu hình nhạy cảm như thông tin kết nối cơ sở dữ liệu, tài khoản hệ thống hay nhật ký vận hành. Mục tiêu là thu thập dữ liệu tình báo, chuẩn bị cho bước leo thang đặc quyền tiếp theo.

Điểm nguy hiểm của Local File Inclusion là kẻ tấn công không cần tải mã độc mới lên máy chủ, mà biến chính các tệp hợp lệ sẵn có thành nguồn rò rỉ thông tin. Ví dụ, một ứng dụng PHP nhận tham số trang trực tiếp từ URL mà không chuẩn hóa đường dẫn sẽ để kẻ tấn công thay tham số đó bằng chuỗi điều hướng thư mục cục bộ. Trên cả máy chủ Linux lẫn Windows, thao tác này đủ để đọc các tệp tài khoản hệ thống rồi mở rộng phạm vi tấn công.

2.2. Remote File Inclusion (RFI) là gì?

Remote File Inclusion nguy hiểm hơn vì ứng dụng chấp nhận nạp và thực thi tệp mã độc đặt trên một máy chủ từ xa do kẻ tấn công kiểm soát. Cơ chế Remote File Inclusion hoạt động khi tham số nhận vào một URL đầy đủ qua giao thức HTTP hoặc FTP. Máy chủ mục tiêu sẽ tự tải đoạn mã từ bên ngoài về và chạy trực tiếp trong luồng xử lý, cho phép hacker điều khiển hệ thống mà không cần đặt sẵn tệp độc hại trên ổ đĩa.

Một cuộc tấn công Remote File Inclusion chỉ thành công khi cấu hình máy chủ còn lỏng lẻo, điển hình là việc cho phép ứng dụng tự mở liên kết từ xa mà không qua firewall giám sát. Khi rào chắn này bị bỏ ngỏ, máy chủ doanh nghiệp trở thành công cụ thực thi lệnh nằm trong tay tội phạm mạng.

2.3. So sánh chi tiết giữa Local File Inclusion và Remote File Inclusion

Bảng dưới đây tổng hợp các tiêu chí vận hành cốt lõi để kỹ sư hệ thống nắm nhanh khác biệt giữa hai biến thể:

3. Các kỹ thuật khai thác File Inclusion nâng cao của hacker

Kẻ tấn công hiếm khi dừng ở thao tác chèn đường dẫn cơ bản. Chúng liên tục biến hóa để vượt qua các lớp lọc đơn giản của ứng dụng.

3.1. Kỹ thuật Path Traversal và Directory Traversal

Path Traversal là kỹ thuật phổ biến nhất đi kèm Local File Inclusion. Bằng cách chèn chuỗi ký tự điều hướng lùi thư mục, kẻ tấn công thoát khỏi thư mục gốc của ứng dụng để chạm tới cấu trúc thư mục lõi của hệ điều hành. Chuỗi điều hướng thường được lặp nhiều lần để chắc chắn request quay về thư mục gốc cao nhất, rồi trỏ chính xác vào tệp hệ thống cần đọc.

Kỹ thuật Path Traversal khai thác việc ứng dụng tin tưởng mù quáng vào cấu trúc đường dẫn. Khi thiếu bước chuẩn hóa chuỗi, máy chủ diễn giải ký tự điều hướng theo cơ chế phân cấp mặc định của hệ điều hành, khiến mọi hàng rào thư mục trở nên vô nghĩa.

3.2. Khai thác PHP Wrappers độc hại

Khi lập trình viên chặn chuỗi điều hướng bằng bộ lọc từ khóa cơ bản, hacker chuyển sang PHP Wrappers có sẵn trong ngôn ngữ. Với wrapper phù hợp, kẻ tấn công ép ứng dụng xử lý dữ liệu dưới dạng luồng thay vì đọc file thông thường.

Chuỗi truy vấn này buộc máy chủ chuyển toàn bộ nội dung tệp thành một chuỗi mã hóa và trả về cho hacker, thay vì diễn giải như bình thường. Nhờ đó, kẻ tấn công đọc được nguyên vẹn logic xử lý cơ sở dữ liệu và các mật khẩu cấu hình mà không kích hoạt cơ chế báo lỗi của máy chủ gốc.

3.3. Tấn công đầu độc nhật ký (Log Poisoning) và đánh cắp Machine Keys

Log Poisoning giúp kẻ tấn công nâng một lỗi Local File Inclusion thuần túy thành tấn công thực thi mã độc từ xa. Trước tiên, hacker gửi request chứa đoạn mã độc trong các trường tiêu đề như User-Agent. Máy chủ ghi chuỗi này vào tệp nhật ký, sau đó hacker dùng chính lỗi Local File Inclusion để gọi lại tệp log đó, ép máy chủ diễn giải và vô tình chạy malware đã cài cắm.

Xu hướng tấn công hiện đại còn nhắm vào hạ tầng đám mây. Kẻ tấn công dùng Local File Inclusion để trỏ vào tệp cấu hình môi trường, trích xuất các chuỗi Machine Keys hay Environment Tokens. Khi các khóa bí mật này lộ ra, doanh nghiệp đối mặt nguy cơ data breach quy mô lớn, vì hacker có thể tự tạo token hợp lệ để vượt qua mọi lớp kiểm tra đặc quyền và thâm nhập cơ sở dữ liệu lõi.

4. Mối liên hệ nguy hiểm giữa File Inclusion và lỗ hổng File Upload

Các cuộc tấn công đơn lẻ thường dễ ngăn chặn, nhưng khi hacker ghép nhiều điểm yếu thành chuỗi liên hoàn, hậu quả tăng lên nhiều lần. Sự kết hợp giữa File Inclusion và lỗi tải tệp lên hệ thống là ví dụ điển hình.

Với lỗi File Upload, nhà phát triển thường chỉ chặn ở khâu định dạng, cho phép ảnh và tài liệu nhưng cấm tệp thực thi. Hacker dễ dàng vượt rào bằng cách giấu webshell bên trong một tệp ảnh hợp lệ. Sau khi tải lên, tệp ảnh vẫn nằm im trong thư mục tài nguyên như một file tĩnh vô hại.

Nguy hiểm bùng phát khi hệ thống đồng thời dính Local File Inclusion. Hacker dùng lỗi này trỏ thẳng vào tệp ảnh chứa mã độc, buộc máy chủ diễn giải nội dung bên trong như mã nguồn thay vì hiển thị ảnh. Webshell được kích hoạt ngay trên máy chủ gốc, biến một file tĩnh hợp lệ thành công cụ thực thi lệnh từ xa.

Sự kết hợp này vô hiệu hóa các biện pháp bảo vệ đơn lẻ ở tầng lưu trữ. Một tệp đã qua bộ lọc định dạng và quét mã độc vẫn có thể thành vũ khí khi bị gọi ra bởi hàm xử lý động lỏng lẻo. Đây là lý do phòng thủ hiện đại phải nhìn hệ thống như một chỉnh thể liên kết chặt chẽ.

5. Doanh nghiệp nào thường bị tấn công File Inclusion?

Bất kỳ hệ thống nào có mã nguồn lỏng lẻo đều có thể trở thành nạn nhân, nhưng hacker thường ưu tiên rà quét ba nhóm doanh nghiệp có bề mặt tấn công rộng và tài sản dữ liệu giá trị sau đây:

• Thương mại điện tử: Các nền tảng mua sắm sở hữu website quy mô lớn với hàng nghìn danh mục, bộ lọc phức tạp và vô số tham số động để hiển thị nội dung theo người dùng. Việc liên tục cập nhật giao diện và tích hợp tiện ích bên thứ ba vô tình tạo ra nhiều hàm gọi file chưa được bảo vệ chặt, đúng thứ hacker tìm kiếm khi rà quét.
• Tài chính, Ngân hàng và Fintech: Đây là mục tiêu hàng đầu do giá trị kinh tế trực tiếp của hệ thống. Ứng dụng tài chính xử lý nhiều luồng xác thực dữ liệu và kết nối API nên chỉ một sai sót nhỏ dẫn tới File Inclusion cũng đủ để hacker đọc file cấu hình chứa thông tin đăng nhập cơ sở dữ liệu, đánh cắp khóa bảo mật hoặc làm lộ dữ liệu định danh khách hàng.
• Doanh nghiệp vừa và nhỏ (SME): Nhóm này thường xuyên lọt vào các chiến dịch quét lỗ hổng tự động trên diện rộng. Do nguồn lực an ninh mạng hạn chế và thiếu đội ngũ chuyên trách rà soát mã nguồn, nhiều doanh nghiệp SME vẫn chạy hệ quản trị nội dung mã nguồn mở đã cũ, tạo điều kiện thuận lợi cho hacker khai thác.

6. Hệ lụy nghiêm trọng của File Inclusion đối với an toàn thông tin doanh nghiệp

Bỏ qua lỗ hổng File Inclusion có thể đẩy doanh nghiệp vào khủng hoảng toàn diện, ảnh hưởng đồng thời đến dữ liệu, vận hành, tài chính và uy tín trên thị trường.

6.1. Nguy cơ rò rỉ dữ liệu nhạy cảm quy mô lớn

Hậu quả trực tiếp nhất của Local File Inclusion là toàn bộ cấu trúc thư mục bí mật và dữ liệu người dùng bị phơi bày. Khi tình trạng broken access control xảy ra, cơ chế phân quyền tệp tin sụp đổ, khiến thông tin quản trị nội bộ và dữ liệu khách hàng lọt ra ngoài. Từ đây, doanh nghiệp dễ trở thành mục tiêu của các cuộc tấn công ransomware tống tiền dữ liệu.

Rò rỉ tài liệu kiến trúc hệ thống còn mở đường cho hoạt động gián điệp công nghiệp, thậm chí kẻ tấn công có thể cài cắm spyware để duy trì quyền truy cập lâu dài mà doanh nghiệp không hề hay biết. Đối thủ hoặc tội phạm mạng dựa vào thông tin phần mềm bị lộ để dựng kịch bản phá hoại có độ chính xác cao, nhắm thẳng vào các điểm yếu đã biết của hạ tầng.

6.2. Ảnh hưởng vận hành và mất tính sẵn sàng của hệ thống

Khi lỗ hổng leo thang thành tấn công thực thi mã độc từ xa, kẻ tấn công có thể xóa cơ sở dữ liệu, chỉnh sửa giao diện website hoặc cài chương trình độc hại để biến máy chủ thành một node trong mạng botnet. Tình trạng downtime kéo dài trong giờ cao điểm gây thiệt hại doanh thu trực tiếp và khiến đối tác kinh doanh mất niềm tin.

Nguy cơ càng lớn khi sự cố không có phương án ứng cứu kịp thời. Khôi phục dữ liệu từ bản sao lưu luôn tốn thời gian và có thể mất các giao dịch gần nhất. Vì vậy, duy trì tính sẵn sàng cao bắt buộc phải đi kèm năng lực phòng ngừa lỗi ngay từ tầng biên ứng dụng.

6.3. Thiệt hại tài chính và trách nhiệm pháp lý

Chi phí xử lý một sự cố File Inclusion không chỉ dừng ở việc vá lỗ hổng kỹ thuật. Doanh nghiệp phải chi trả cho điều tra số, thuê chuyên gia ứng cứu, thông báo cho khách hàng bị ảnh hưởng và triển khai các biện pháp khắc phục hậu quả. Với các tổ chức xử lý dữ liệu cá nhân, việc để xảy ra rò rỉ còn kéo theo nguy cơ bị xử phạt hành chính theo Luật Dữ liệu 2024 hoặc các nghị định về bảo vệ dữ liệu cá nhân.

Đối với doanh nghiệp niêm yết hoặc hoạt động trong lĩnh vực tài chính, một vụ vi phạm dữ liệu có thể dẫn tới kiện tụng từ phía khách hàng, đối tác và cổ đông. Tổng thiệt hại tài chính trong trường hợp này thường gấp nhiều lần chi phí đầu tư phòng ngừa ban đầu.

6.4. Suy giảm uy tín thương hiệu và mất niềm tin khách hàng

Thiệt hại vô hình từ một vụ rò rỉ dữ liệu thường kéo dài hơn rất nhiều so với thiệt hại tài chính trực tiếp. Khi thông tin sự cố bị công khai, khách hàng mất niềm tin vào năng lực bảo vệ dữ liệu của doanh nghiệp và chuyển sang đối thủ cạnh tranh. Quá trình xây dựng lại uy tín thương hiệu sau khủng hoảng an ninh mạng đòi hỏi thời gian và nguồn lực lớn, đặc biệt trong các ngành đòi hỏi mức độ tin cậy cao như tài chính, y tế và thương mại điện tử.

Trong bối cảnh khách hàng ngày càng quan tâm đến quyền riêng tư, một doanh nghiệp từng bị khai thác lỗ hổng bảo mật sẽ gặp bất lợi rõ rệt khi cạnh tranh giành hợp đồng lớn hoặc mở rộng sang thị trường quốc tế, nơi các tiêu chuẩn như ISO 27001 được đánh giá nghiêm ngặt ngay từ vòng thẩm định nhà cung cấp.

7. Cách khắc phục lỗi File Inclusion tại tầng mã nguồn và hệ thống

Phòng chống File Inclusion cần kết hợp lập trình an toàn và cấu hình máy chủ chặt chẽ theo mô hình Defense in Depth, triển khai nhiều lớp bảo vệ để triệt tiêu các lỗi bảo mật web ngay từ gốc rễ.

7.1. Kiểm tra và lọc dữ liệu đầu vào bằng Whitelist

Giải pháp hiệu quả nhất là không bao giờ truyền trực tiếp dữ liệu do người dùng cung cấp vào bất kỳ hàm gọi file nào của hệ thống. Nếu logic nghiệp vụ bắt buộc phải nạp file theo tham số, nhà phát triển cần xây dựng một bảng ánh xạ cố định, trong đó mỗi giá trị hợp lệ được gán cho một chỉ số (ví dụ: số thứ tự hoặc mã ngắn) thay vì sử dụng tên tệp gốc.

Mã nguồn sẽ kiểm tra giá trị tham số đầu vào có nằm trong bảng ánh xạ trắng hay không. Nếu giá trị truyền vào không khớp bất kỳ mục nào, ứng dụng lập tức từ chối request và trả về trang báo lỗi mặc định. Bước tiếp theo là chuẩn hóa đường dẫn trước khi đưa vào hàm thực thi, nhằm loại bỏ hoàn toàn các chuỗi ký tự điều hướng thư mục lùi, dấu chấm, dấu gạch chéo hoặc các ký tự mã hóa kép mà hacker thường dùng để vượt bộ lọc cơ bản.

7.2. Cấu hình môi trường máy chủ an toàn

Vô hiệu hóa triệt để các tùy chọn nguy hiểm trong tệp cấu hình ứng dụng là bước bắt buộc đối với môi trường PHP. Cụ thể, chuyển tham số allow_url_include sang giá trị Off sẽ triệt tiêu khả năng kích hoạt Remote File Inclusion, ngăn máy chủ tự gửi request ra ngoài để tải mã độc về. Đồng thời, thiết lập open_basedir để giới hạn phạm vi thư mục mà các hàm gọi file được phép truy cập, kể cả khi hacker đã chèn được chuỗi Path Traversal thành công.

Bên cạnh đó, các thiết lập liên quan như display_errors, expose_php và session.cookie_httponly cũng cần được rà soát để tránh rò rỉ thông tin hệ thống cho kẻ tấn công. Doanh nghiệp vận hành môi trường PHP có thể tham khảo chi tiết toàn bộ các thiết lập bảo mật được khuyến nghị tại OWASP PHP Configuration Cheat Sheet.

Với các ngôn ngữ và framework khác, nguyên tắc chung vẫn là tắt mọi tính năng cho phép nạp tài nguyên từ xa theo mặc định, chỉ mở khi có nhu cầu nghiệp vụ cụ thể và kèm theo lớp kiểm tra bổ sung.

7.3. Phân quyền tối thiểu và cô lập môi trường thực thi

Tài khoản chạy tiến trình ứng dụng web chỉ nên có quyền đọc ghi trong phạm vi thư mục tài nguyên tối thiểu phục vụ vận hành, không chạm tới thư mục lõi của hệ điều hành hay tệp cấu hình nhạy cảm. Nhờ đó, ngay cả khi ứng dụng bị khai thác File Inclusion, kẻ tấn công cũng không thể đọc được các tệp ngoài phạm vi cho phép.

Với các hệ thống hiện đại, việc triển khai ứng dụng trong môi trường container hoặc sandbox giúp cô lập thêm một tầng. Nếu tiến trình bị chiếm quyền, phạm vi thiệt hại bị giới hạn trong container thay vì lan ra toàn bộ máy chủ vật lý.

7.4. Kiểm thử bảo mật liên tục trong vòng đời phát triển

Rà quét lỗ hổng tự động kết hợp kiểm thử xâm nhập thủ công nên được tích hợp vào quy trình phát triển phần mềm (SDLC) để phát hiện File Inclusion từ giai đoạn phát triển thay vì chờ đến khi ứng dụng đã lên môi trường vận hành. Các công cụ quét mã nguồn tĩnh (SAST) có thể phát hiện các hàm gọi file sử dụng tham số chưa lọc, trong khi công cụ quét động (DAST) kiểm tra hành vi ứng dụng khi nhận payload thực tế.

8. Bảo vệ ứng dụng toàn diện trước File Inclusion với nền tảng VNIS

Cấu hình và tối ưu mã nguồn là nền tảng, nhưng quản lý thủ công khó theo kịp tốc độ biến hóa của tấn công và các điểm yếu zero day xuất hiện liên tục. Doanh nghiệp cần thêm một lớp lá chắn chủ động ở tầng ứng dụng. Nền tảng VNIS (VNETWORK Internet Security) của đơn vị công nghệ VNETWORK được xây dựng cho đúng bài toán này.

VNIS là nền tảng bảo mật và tăng tốc Web, App, API toàn diện, giúp doanh nghiệp ngăn chặn mối đe dọa theo thời gian thực. Nền tảng VNIS vận hành trên cơ chế bảo vệ hai lớp, kết hợp năng lực xử lý hạ tầng số với công nghệ an ninh chuyên sâu. Các tính năng cốt lõi giúp chặn File Inclusion gồm:

• Tích hợp giải pháp WAAP thế hệ mới: Lớp bảo vệ tầng ứng dụng của VNIS triển khai WAAP tích hợp AI, trong đó AI WAF phân tích hành vi ngữ cảnh từng request thay vì dựa trên signature tĩnh dễ bị vượt qua. Hệ thống bóc tách payload, phát hiện dấu hiệu điều hướng thư mục bất thường và chặn các chiến dịch khai thác thuộc Top 10 OWASP ngay tại lớp biên, trước khi request chạm máy chủ gốc.
• Quản lý Bot thông minh: Phần lớn các cuộc tấn công File Inclusion bắt đầu bằng công cụ quét lỗ hổng tự động rà soát hàng loạt URL của doanh nghiệp. Tính năng Bot Management của VNIS nhận diện và phân loại lưu lượng bot theo thời gian thực, tự động chặn các bot độc hại đang dò tìm tham số gọi file lỏng lẻo mà không ảnh hưởng tới bot hợp lệ như công cụ tìm kiếm.
• Hạ tầng Multi-CDN: Webshell độc hại thường đi kèm các đợt quét lưu lượng lớn gây quá tải. Hạ tầng Multi-CDN toàn cầu của VNIS tách riêng luồng dữ liệu tĩnh và động, giữ tốc độ ổn định và bảo đảm tính sẵn sàng cao ngay cả khi bị tấn công quy mô lớn.
• Trung tâm giám sát SOC 24/7: Bổ trợ cho lá chắn tự động, hệ thống VNIS được đội ngũ kỹ sư SOC của VNETWORK giám sát liên tục, sẵn sàng cô lập sự cố, phân tích nguồn traffic độc hại và phản ứng phòng thủ tối ưu.

9. Kết luận

Lỗ hổng File Inclusion là điểm yếu có mức nguy hiểm rất cao, mở đường cho tấn công phá hoại mã nguồn và rò rỉ dữ liệu nhạy cảm. Một chiến lược phòng thủ vững chắc cần kết hợp tư duy lập trình an toàn ở tầng mã nguồn với công nghệ bảo mật tự động thế hệ mới. Hãy chủ động bảo vệ tài sản số và hệ thống ứng dụng web trước khi lỗ hổng bị khai thác.

Doanh nghiệp cần nâng cao năng lực an ninh mạng hãy liên hệ ngay với chuyên gia của VNETWORK để được tư vấn chuyên sâu:

• Hotline: 028 7306 8789
• Email: contact@vnetwork.vn

FAQ: Các câu hỏi thường gặp về File Inclusion

1. Lỗ hổng File Inclusion có nằm trong danh sách Top 10 OWASP không?

Lỗ hổng File Inclusion không đứng dưới một tên gọi riêng mà được xếp vào nhóm Broken Access Control và Security Misconfiguration trong Top 10 OWASP. Đây là các hạng mục lỗi bảo mật web phổ biến và nguy hiểm nhất, phản ánh thiếu sót trong phân quyền tệp tin và kiểm soát dữ liệu đầu vào.

2. Kỹ thuật Null Byte Injection ảnh hưởng thế nào đến lỗi File Inclusion?

Null Byte Injection dùng ký tự kết thúc chuỗi đặc biệt để đánh lừa cơ chế kiểm tra phần mở rộng của tệp tin. Khi hacker chèn ký tự này vào cuối tham số, các phiên bản ngôn ngữ cũ sẽ cắt bỏ phần đuôi phía sau, cho phép vượt qua bộ lọc định dạng tĩnh để thực thi file hệ thống hoặc webshell theo ý muốn.

3. Tại sao Remote File Inclusion (RFI) nguy hiểm hơn Local File Inclusion (LFI)?

Remote File Inclusion nguy hiểm hơn vì cho phép kẻ tấn công tải và thực thi trực tiếp tệp mã độc từ máy chủ bên ngoài, không cần vượt bộ lọc tải file để đưa mã độc vào máy chủ như Local File Inclusion. Chỉ cần lỗi được kích hoạt, hacker có thể chiếm quyền điều khiển máy chủ từ xa gần như tức thì.

4. Làm thế nào để phân biệt Directory Traversal và File Inclusion?

Khác biệt cốt lõi nằm ở cách ứng dụng xử lý tệp tin. Directory Traversal hay Path Traversal chỉ dùng ký tự điều hướng để đọc hoặc tải file hệ thống tĩnh trái phép. File Inclusion đi xa hơn khi đưa tệp vào luồng thông dịch mã nguồn, buộc máy chủ thực thi nội dung bên trong như một đoạn mã động.

5. Tường lửa WAF thông thường có ngăn chặn triệt để File Inclusion không?

Tường lửa ứng dụng web dựa trên signature tĩnh rất dễ bị bypass bằng kỹ thuật mã hóa chuỗi hoặc các biến thể PHP Wrappers tinh vi. Để chặn triệt để, doanh nghiệp nên dùng WAF thế hệ mới tích hợp AI thuộc hệ sinh thái VNIS, phân tích hành vi để nhận diện request bất thường và ngăn các biến thể payload chèn tệp tin mới nhất.