Wie kann ich Directory-Traversal-Angriffe in PHP verhindern und gleichzeitig relative Pfade zulassen?

Verhindern von Verzeichnisdurchquerungen und gleichzeitiges Zulassen von Pfaden in PHP

Bei der Arbeit mit relativen Pfaden ist es wichtig, sich vor Verzeichnisdurchquerungsangriffen zu schützen, die vertrauliche Systeminformationen gefährden können.

Stellen Sie sich das Szenario vor, in dem Sie einen Basispfad von „/whatever/foo/“ haben und relative Pfade mithilfe von zulassen müssen $_GET['path']-Variable. Allerdings können böswillige Akteure versuchen, diesen Mechanismus auszunutzen, indem sie Pfaddurchquerungssequenzen (wie „..“ oder „./“) einschleusen, um auf eingeschränkte Verzeichnisse zuzugreifen.

Um die Verzeichnisdurchquerung effektiv zu verhindern und gleichzeitig relative Pfade zuzulassen, können Sie Folgendes tun Verwenden Sie die folgende Technik:

$basepath = '/foo/bar/baz/';
$realBase = realpath($basepath);

$userpath = $basepath . $_GET['path'];
$realUserPath = realpath($userpath);

if ($realUserPath === false || strpos($realUserPath, $realBase) !== 0) {
    // Directory Traversal Attempt Detected
} else {
    // Valid Path
}

Diese Methode nutzt die realpath()-Funktion, um die absoluten physischen Pfade sowohl der Basispfade als auch der vom Benutzer bereitgestellten Pfade zu bestimmen. Durch den Vergleich dieser absoluten Pfade können Sie überprüfen, ob der Benutzerpfad nicht über den festgelegten Basispfad hinausgeht. Wenn dies der Fall ist, gibt realpath() false oder einen falschen Pfad zurück, was die Erkennung eines Verzeichnisdurchquerungsversuchs auslöst.

Das obige ist der detaillierte Inhalt vonWie kann ich Directory-Traversal-Angriffe in PHP verhindern und gleichzeitig relative Pfade zulassen?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!