LFI
Una vulnerabilità in cui un'applicazione web lascia che sia l'input dell'utente a decidere quale file caricare. Il classico è ?page=../../../../etc/passwd — ma leggere i file non è la parte pericolosa.
La parte pericolosa è che un file incluso viene eseguito. In PHP, include($_GET['page']) significa che qualsiasi file contenente codice viene eseguito, per cui un'LFI può spesso essere trasformata in esecuzione di codice remoto. Le vie sono note: avvelenare un file di log inviando codice PHP nello User-Agent e poi includere il log, passare da /proc/self/environ, oppure sfruttare file di sessione e immagini caricate. Il trucco del byte nullo, che aggirava le estensioni aggiunte in coda, è stato chiuso in PHP 5.3.4. La difesa è non passare mai l'input dell'utente alle funzioni sui file: usare una lista di nomi consentiti e ricavare da quella il percorso reale.