Comprobador de vulnerabilidades LFI

El verificador LFI es una herramienta de análisis de seguridad diseñada para ayudar a desarrolladores, equipos de seguridad y QA a identificar debilidades de local file inclusion en aplicaciones web. Prueba parámetros inyectables añadiendo una serie curada de payloads de traversing y codificación, y analiza las respuestas para determinar si se divulga contenido sensible o información del servidor. Al centrarse en entornos autorizados y modos de prueba seguros, reduce el riesgo al tiempo que proporciona hallazgos accionables.
El flujo operativo comienza con mapear endpoints candidatos que aceptan entradas de archivo o de ruta, seguido de ejecución controlada de payloads. Los payloads incluyen traversals de ruta relativos (../../...), variantes codificadas en URL y técnicas de wrapper comunes. La herramienta compara cada respuesta con una línea base para detectar filtraciones de contenido, mensajes de error anómalos o listados de directorios. Todos los resultados se capturan con metadatos como códigos de estado, longitudes de respuesta y tiempo hasta el primer byte para facilitar la reproducibilidad.
El valor único radica en su énfasis en pruebas seguras y auditable. Soporta profundidad configurable, temporización y un modo seguro que evita leer archivos reales. La salida está estructurada para informes de seguridad y sistemas de ticketing, permitiendo a los desarrolladores implementar validación adecuada de entradas, listas blancas y manejo correcto de errores. Ayuda a establecer un proceso repetible para detectar riesgos LFI durante puertas CI/CD o evaluaciones manuales.
Casos de uso: controles de seguridad previos a la implementación, pruebas de regresión tras cambios de código, validación de programas Bug Bounty dentro de ámbitos autorizados y revisiones de cumplimiento. Aunque facilita el descubrimiento, no ejecuta código arbitrario en el host; solo evalúa posibilidades de inclusión y genera evidencia para guiar la remediación.