💡 ULASAN & REFERENSI • DIPERBARUI: 23 October 2026 • REDAKSI AZWINN

SSI File Inclusion: Pengertian, Celah, dan Mitigasinya

SSI File Inclusion adalah kerentanan keamanan web yang memungkinkan penyerang mengeksekusi perintah sistem operasi atau menyisipkan file berbahaya melalui manipulasi arahan Server Side Includes (SSI). Celah ini terjadi ketika aplikasi web gagal menyaring input pengguna dengan benar sebelum diproses oleh juru bahasa SSI server, seperti Apache, Nginx, atau IIS.

Mekanisme eksploitasi ini umumnya memanfaatkan fitur inklusi file bawaan server (misalnya perintah #include, #exec, atau #printenv) untuk membaca file sensitif pada sistem atau menjalankan kode arbitrer. Dampak dari serangan ini dapat berkisar dari pengungkapan informasi sistem hingga pengambilalihan kendali penuh atas server web yang rentan.

Mekanisme Kerja dan Vektor Serangan

Server Side Includes (SSI) adalah bahasa skrip sisi server sederhana yang digunakan terutama untuk halaman web berbasis HTML. Fitur ini memungkinkan pengembang menyisipkan konten dari file lain atau hasil eksekusi program ke dalam satu halaman web tunggal.

Kerentanan muncul saat aplikasi menerima data masukan dari parameter HTTP (GET/POST), cookie, atau header, lalu langsung menanamkannya ke dalam file yang diproses oleh SSI tanpa proses sanitasi. Penyerang dapat memasukkan payload khusus yang memaksa server membaca file seperti /etc/passwd atau menjalankan perintah terminal berbahaya.

Contoh Skenario Kerentanan

Misalnya, sebuah halaman web menggunakan SSI untuk menampilkan nama pengguna berdasarkan parameter URL:

<!--#echo var="QUERY_STRING"-->

Jika aplikasi tidak memvalidasi input, penyerang dapat mengirimkan permintaan manipulatif yang menyertakan arahan eksekusi perintah:

http://example.com/index.shtml?name=<!--#exec cmd="cat /etc/passwd"-->

Tabel Parameter dan Arahan SSI yang Sering Disalahgunakan

Arahan SSI Fungsi Normal Potensi Penyalahgunaan / Risiko Keamanan
#include Menyisipkan isi file lokal atau eksternal ke halaman web. Local File Inclusion (LFI) untuk membaca file sistem sensitif.
#exec Menjalankan perintah shell atau skrip CGI eksternal. Remote Code Execution (RCE) untuk menjalankan perintah sistem.
#printenv Menampilkan seluruh variabel lingkungan (environment variables). Kebocoran informasi konfigurasi server, kredensial, dan jalur direktori.
#set Menetapkan nilai pada variabel yang ditentukan. Manipulasi variabel logika aplikasi untuk mem-bypass kontrol akses.

Langkah Mitigasi dan Pencegahan

Untuk mengamankan aplikasi web dari risiko eksploitasi SSI File Inclusion, administrator sistem dan pengembang harus menerapkan beberapa langkah pertahanan berlapis:

  1. Nonaktifkan Eksekusi Perintah: Pada konfigurasi server web (seperti Apache), matikan fungsi eksekusi perintah eksternal jika tidak benar-benar dibutuhkan. Gunakan direktif Options -Includes atau batasi penggunaan arahan #exec melalui konfigurasi IncludesNOEXEC.
  2. Validasi dan Sanitasi Input: Terapkan teknik whitelisting yang ketat pada semua input pengguna yang diterima melalui parameter HTTP, formulir, atau cookie. Tolak karakter khusus seperti tanda kurung sudut, tanda serang, atau tanda hubung ganda yang sering digunakan dalam payload SSI.
  3. Batasi Hak Akses File: Jalankan proses server web dengan hak istimewa minimum (principle of least privilege) agar jika terjadi eksploitasi, penyerang tidak langsung mendapatkan akses root atau administrator sistem.
  4. Gunakan Pemindai Keamanan: Lakukan pengujian penetrasi berkala dan pemindaian kerentanan menggunakan alat seperti OWASP ZAP atau Burp Suite untuk mendeteksi potensi celah injeksi pada aplikasi web.

🔍 Orang Lain Juga Mencari Ini