💡 ULASAN & REFERENSI • DIPERBARUI: 20 October 2026 • REDAKSI AZWINN

Server-Side Includes Security Risks: Vulnerabilities & Fixes

Server-Side Includes (SSI) security risks adalah celah keamanan yang muncul ketika web server mengizinkan eksekusi direktif SSI—seperti perintah sistem operasi eksternal atau penyisipan file—tanpa validasi input pengguna yang memadai. Risiko utama dari kerentanan ini meliputi eksekusi perintah jarak jauh (Remote Command Execution), pencurian data sensitif, dan pengambilalihan kontrol server web secara penuh.

Secara historis, SSI dirancang sebagai mekanisme sederhana untuk menyisipkan konten dinamis ke dalam halaman HTML statis tanpa memerlukan bahasa pemrograman backend yang kompleks seperti PHP atau Python. Namun, fitur tingkat lanjut dalam SSI seperti direktif #exec sangat berbahaya jika digabungkan dengan parameter input yang dapat dikendalikan langsung oleh penyerang (user-supplied input).

Jenis Kerentanan dan Risiko Utama dalam Server-Side Includes

Penyalahgunaan SSI umumnya terjadi melalui injeksi perintah (SSI Injection) pada parameter URL, formulir input, atau header HTTP yang diproses secara langsung oleh parser server web tanpa sanitasi. Berikut adalah rincian vektor serangan utama:

Direktif SSI Fungsi Normal Risiko Keamanan Contoh Eksploitasi
#exec Menjalankan perintah CGI atau shell sistem operasi. Eksekusi Perintah Jarak Jauh (RCE) dengan hak akses proses web server. <!--#exec cmd="cat /etc/passwd"-->
#include Menyisipkan konten file lain ke dalam halaman web. Local File Inclusion (LFI) dan pembacaan file sistem sensitif. <!--#include virtual="/etc/shadow"-->
#printenv Menampilkan seluruh variabel lingkungan (environment variables). Kebocoran informasi kredensial, kunci API, dan struktur internal server. <!--#printenv-->
#config Mengatur format tanggal, ukuran, atau pesan error. Manipulasi tampilan error log atau pengaburan jejak serangan. <!--#config timefmt="%A"-->

Mekanisme Eksploitasi SSI Injection

Eksploitasi bermula ketika aplikasi web menerima data dari pengguna (misalnya melalui parameter GET ?name=) dan memasukkannya langsung ke dalam file berformat SSI (biasanya berekstensi .shtml, .shtm, atau .stm) tanpa proses escaping atau encoding. Ketika server memproses file tersebut, string input diterjemahkan sebagai perintah SSI yang sah.

Sebagai contoh, jika sebuah skrip menggemakan input pengguna ke dalam halaman .shtml:

<!--#echo var="QUERY_STRING"-->

Penyerang dapat mengirimkan payload khusus yang memicu eksekusi perintah sistem operasi melalui direktif #exec cmd. Jika proses web server berjalan dengan hak istimewa tinggi (seperti root atau Administrator), penyerang dapat menginstal malware, membuat akun backdoor, atau menghapus seluruh direktori web.

Langkah Mitigasi dan Pengamanan Server Web

Untuk menanggulangi risiko keamanan SSI secara efektif, administrator sistem dan pengembang web harus menerapkan langkah-langkah pertahanan berlapis berikut:

  1. Nonaktifkan Direktif Berbahaya: Batasi fungsionalitas SSI hanya pada penyisipan konten dasar. Pada server Apache HTTP Server, nonaktifkan eksekusi perintah shell dengan menonaktifkan modul includes atau memastikan opsi IncludesNOEXEC digunakan alih-alih Includes di dalam blok konfigurasi direktori.
  2. Validasi dan Sanitasi Input: Terapkan teknik input validation yang ketat menggunakan pendekatan allow-listing. Tolak karakter khusus seperti tanda seru (!), tanda kurung, atau titik koma yang sering digunakan dalam sintaks SSI.
  3. Ubah Ekstensi File Default: Jangan gunakan ekstensi .shtml untuk halaman yang memproses input pengguna secara dinamis. Alihkan fungsionalitas dinamis ke bahasa pemrograman modern seperti PHP, Node.js, atau Python yang memiliki kontrol keamanan lebih baik terhadap eksekusi perintah sistem.
  4. Batasi Hak Akses Proses (Least Privilege): Jalankan layanan web server di bawah akun pengguna khusus dengan hak istimewa minimal (misalnya www-data atau apache) untuk mencegah eskalasi privilege jika terjadi kompromi.

Konfigurasi Keamanan SSI pada Apache HTTP Server

Contoh konfigurasi aman pada file httpd.conf atau direktif direktori untuk mencegah eksekusi perintah sistem melalui SSI:

<Directory "/var/www/html">
    # Hanyaizinkan penyisipan file, larang eksekusi perintah shell
    Options IncludesNOEXEC
    AddType text/html .shtml
    AddOutputFilter INCLUDES .shtml
</Directory>

Dengan menerapkan konfigurasi IncludesNOEXEC, direktif #exec akan diabaikan oleh server dan merespons dengan pesan kesalahan, sehingga potensi Remote Code Execution berhasil ditutup sepenuhnya.

🔍 Orang Lain Juga Mencari Ini