Inklusi file jarak jauh (RFI) adalah jenis serangan peretas yang terjadi terutama di situs web. Serangan ini terjadi jika administrator atau pembuat situs web tidak menyertakan validasi yang tepat dan siapa pun yang ingin dapat menyelundupkan file ke dalam sistem. Dengan serangan ini, peretas menyuntikkan file jarak jauh ke server, dan isi file membuat kekacauan di server sesuai dengan apa yang dikodekan peretas. Beberapa serangan penyertaan file jarak jauh hanya menambahkan string teks acak ke situs web, sementara yang lain dapat menyebabkan sesuatu yang lebih berbahaya, seperti penolakan layanan (DoS), pencurian data, atau kerentanan lebih lanjut di situs web.
Semua situs web terdiri dari banyak file — untuk gambar, pengkodean, dan fitur lainnya. Jika administrator tidak menyertakan aturan validasi yang memeriksa file yang masuk, maka penyertaan file jarak jauh adalah salah satu serangan termudah untuk dilakukan peretas. Peretas hanya perlu memanipulasi alamat situs web untuk mengelabuinya agar memasukkan file baru, dan file jarak jauh akan diunggah ke server.
File jarak jauh itu sendiri biasanya berupa file teks yang berisi semacam kode berbahaya. Dalam skenario terbaik, peretas hanya menggunakan penyertaan file jarak jauh untuk menambahkan teks acak ke situs web untuk merusaknya. Ini menjengkelkan tetapi tidak selalu berbahaya. Administrator akan mengetahui sistem mereka rentan dan, dengan cara ini, peretas dapat melakukan layanan dengan memberi tahu administrator tentang lubang keamanan.
Namun, lebih sering, serangan penyertaan file jarak jauh jauh lebih buruk bagi pemilik situs web. Setelah skrip dalam file teks dieksekusi di dalam server, itu dapat menyebabkan serangan DoS dengan terus-menerus melakukan ping ke server hingga situs web tidak berfungsi lagi. Setiap data yang disimpan dalam database juga dapat dicuri dari situs web.
Alasan lain untuk menggunakan penyertaan file jarak jauh adalah untuk membuat situs web lebih lemah dari serangan lain. Saat kode dieksekusi, kode tersebut dapat dengan mudah membuat lubang besar di situs web yang aman, yang mungkin diperlukan peretas untuk masuk lebih jauh ke situs web, server, atau basis data. Ini mungkin sulit untuk diperbaiki oleh administrator karena, setelah kode dijalankan, kode tersebut dapat mengubah atau memanipulasi semua file lain yang terkait dengan situs web.
Agar tidak diretas, administrator biasanya menempatkan aturan validasi pada file eksternal. Lebih baik lagi, file eksternal tidak diizinkan masuk ke sistem melalui celah seperti itu. RFI adalah peretasan yang mudah untuk peretas baru dan lanjutan, tetapi, jika administrator memastikan validasi semua file, file jarak jauh seharusnya tidak dapat menyelinap masuk.