Server Side Includes (SSI) adalah direktif berbasis sisi server yang digunakan untuk menyisipkan file atau menjalankan skrip pada halaman web sebelum disajikan kepada pengguna. Jika tidak dikonfigurasi dengan benar, SSI dapat menjadi celah keamanan kritis yang memungkinkan penyerang mengeksekusi perintah sistem secara sewenang-wenang (Remote Code Execution) melalui kerentanan SSI Injection.
Eksploitasi terjadi ketika aplikasi web menerima masukan dari pengguna (seperti parameter URL atau data formulir) tanpa sanitasi yang memadai dan memasukkannya langsung ke dalam dokumen yang diproses oleh juru bahasa SSI server, seperti Apache mod_include.
Mekanisme Kerentanan SSI Injection
Direktif SSI yang paling berbahaya adalah dan . Jika direktif ini diaktifkan pada server dan masukan pengguna tidak disaring, penyerang dapat menyuntikkan perintah sistem operasi yang akan langsung dieksekusi oleh hak istimewa akun server web (misalnya www-data).
| Direktif SSI | Fungsi Normal | Risiko Keamanan |
|---|---|---|
<!--#include--> |
Menyisipkan konten file lain (header, footer). | Path Traversal / Local File Inclusion (LFI). |
<!--#exec--> |
Menjalankan perintah shell atau CGI script. | Remote Code Execution (RCE) tingkat tinggi. |
<!--#echo--> |
Menampilkan variabel lingkungan server. | Kebocoran informasi sensitif (IP, path server). |
<!--#printenv--> |
Mencetak seluruh variabel lingkungan. | Paparan kredensial dan konfigurasi internal. |
Langkah Mitigasi dan Pengerasan (Hardening) Server
Untuk mengamankan lingkungan server yang menggunakan SSI, administrator harus menerapkan prinsip hak istimewa terendah dan membatasi fungsionalitas direktif yang tidak esensial.
1. Menonaktifkan Eksekusi Perintah (Exec)
Pada server web Apache, pastikan modul mod_include dikonfigurasi agar menolak perintah eksekusi sistem. Tambahkan konfigurasi berikut pada file httpd.conf atau blok direktori virtual host:
<Directory "/var/www/html">
Options +Includes
# Pastikan opsi IncludesNOEXEC digunakan, bukan hanya Includes
Options -IncludesNOEXEC
</Directory>2. Validasi dan Sanitasi Input Pengguna
Jika aplikasi web harus memproses data masukan pengguna bersamaan dengan halaman SSI, terapkan input validation yang ketat. Gunakan teknik output encoding dan tolak karakter khusus seperti <, >, #, serta tanda kutip yang sering digunakan untuk memicu injeksi.
3. Batasi Akses File dengan Path Traversal Defense
Membatasi direktif #include agar tidak dapat mengakses direktori di luar root web melalui konfigurasi AllowOverride yang tepat dan pembatasan hak akses sistem berkas (file system permissions).
Troubleshooting dan Pemeriksaan Keamanan
Lakukan pemindaian kerentanan secara berkala menggunakan alat penguji penetrasi web. Periksa log error server (error_log) untuk mendeteksi percobaan injeksi yang gagal atau pola permintaan HTTP yang mencurigakan yang mengarah ke file dengan ekstensi .shtml.