ローカル ファイル インクルージョン (LFI) は、攻撃者が Web ブラウザを通じてサーバー上のファイルを含めることを可能にする Web の脆弱性です。これにより、機密情報が漏洩したり、リモートでコードが実行されたりする可能性があります。
LFI 脆弱性を悪用した後にペネトレーション テスターが試行できる次のステップは次のとおりです。
* ログポイズニング: これには、悪意のあるコードが Web サーバーのログ ファイルに挿入され、LFI 経由でコードが実行されるように組み込まれます34。
* PHP ラッパー: LFI 経由でファイルやデータを操作するために使用できる特別なストリームです。たとえば、php://input を使用して任意のデータを LFI スクリプトに渡すことも、php://filter を使用してファイルをエンコードまたはデコードすることもできます5。

辞書を使用すると、侵入テスト ツールへの入力としてスクリプトまたはプログラムに入力できる英数字データを保存できます。ディクショナリは、キーを使用してアクセスできるキーと値のペアのコレクションです。たとえば、辞書には、ブルート フォース ツールや偵察ツールの入力として使用できるユーザー名とパスワード、または IP アドレスとホスト名を保存できます。

これら 2 つの動作は、ペネトレーション テスターが遵守すべき誠実さ、誠実さ、機密保持の原則に違反するため、非倫理的であると考えられます。重大な脆弱性をクライアントと共有しないことは、評価の品質と価値を損ない、クライアントをより大きなリスクにさらす可能性があるため、不誠実でプロフェッショナルではありません。クライアントのパブリック IP アドレスを共有してアンダーグラウンドのハッカー フォーラムに助けを求めることは、クライアントの ID と情報を悪用する可能性のある悪意のある攻撃者に公開することになるため、機密性と信頼の侵害となります。