Vệ sinh đường dẫn tập tin trong PHP

Question

Lời chào, Tôi hy vọng sẽ làm cho chương trình nhỏ bé của tôi được an toàn để người dùng độc hại tiềm ẩn không thể xem các tệp nhạy cảm trên máy chủ.

$path = "/home/gsmcms/public_html/central/app/webroot/{$_GET['file']}"; 


    if(file_exists($path)) { 
     echo file_get_contents($path); 
    } else { 
     header('HTTP/1.1 404 Not Found'); 
    } 

Tắt đầu tôi biết đầu vào như '../../../../../../etc/passwd' sẽ gặp sự cố, nhưng tự hỏi điều gì khác đầu vào bất tỉnh tôi nên mong đợi và làm thế nào để ngăn chặn chúng.

Answer 1

realpath() sẽ cho phép bạn chuyển đổi bất kỳ đường dẫn nào có thể chứa thông tin tương đối thành đường dẫn tuyệt đối ... bạn có thể đảm bảo rằng đường dẫn đó nằm trong một thư mục phụ nhất định mà bạn muốn cho phép tải xuống.

Answer 2

Sử dụng basename thay vì cố gắng dự đoán tất cả các đường dẫn không an toàn mà người dùng có thể cung cấp.

Answer 3

Nếu bạn có thể, hãy sử dụng danh sách trắng như một loạt tệp được phép và kiểm tra đầu vào dựa vào đó: nếu tệp do người dùng yêu cầu không có trong danh sách đó, từ chối yêu cầu.

Answer 4

Có rủi ro bảo mật bổ sung và đáng kể ở đây. Tập lệnh này sẽ chèn nguồn của tệp vào luồng đầu ra mà không có bất kỳ xử lý phía máy chủ nào. Điều này có nghĩa là tất cả mã nguồn của bất kỳ tệp có thể truy cập nào đều sẽ bị rò rỉ trên internet.

Answer 5

Giải pháp của OP:

$baseDir = "/home/gsmcms/public_html/central/app/webroot/"; 
$path = realpath($baseDir . $_GET['file']); 

// if baseDir isn't at the front 0==strpos, most likely hacking attempt 
if(strpos($path, $baseDir) !== 0 || strpos($path, $baseDir) === false) { 
    die('Invalid Path'); 
} elseif(file_exists($path)) { 
    echo file_get_contents($path); 
} else { 
    header('HTTP/1.1 404 Not Found'); 
    echo "The requested file could not be found"; 
} 

Answer 6

Thậm chí nếu bạn đang sử dụng realpath, bạn vẫn nên gỡ bỏ tất cả ".." trước khi sử dụng nó. Nếu không, kẻ tấn công có thể đọc toàn bộ cấu trúc thư mục của máy chủ của bạn bằng sức mạnh vũ phu, ví dụ: "valid_folder /../../ test_if_this_folder_name_exists/valid_folder" - nếu ứng dụng chấp nhận đường dẫn này, kẻ tấn công biết rằng thư mục tồn tại.

Answer 7

Để xóa tất cả /. /.. hoặc \. \ .. và chuyển đổi thành tất cả dấu gạch chéo phía trước vì các môi trường khác nhau sẽ chấp nhận dấu gạch chéo. Điều này sẽ cung cấp một bộ lọc khá an toàn cho đầu vào đường dẫn. Trong mã của bạn, bạn nên so sánh nó với thư mục cha mà bạn không muốn truy cập chỉ trong trường hợp.

$path = realpath(implode('/', array_map(function($value) {return trim($value, '.');}, explode('/', str_replace('\\', '/', $path)))));