PHP_PHP チュートリアルでリモート ファイルを開く方法、リスク、解決策

PHP には、allow_url_fopen という構成オプションがあり、デフォルトで有効になっています。これにより、さまざまな種類のリソースを指定し、それらをローカル ファイルのように扱うことができます。たとえば、URL を読み取ることで、ページのコンテンツ (HTML) を取得できます。以下のコードを参照してください

include および require でファイルを指すために汚染されたデータが使用されると、深刻な脆弱性が発生します。実際、私はこの脆弱性は、攻撃者に任意のコードの実行を可能にするため、PHP アプリケーションで最も危険な脆弱性の 1 つであると考えています。深刻さはわずかに劣りますが、汚染されたデータが標準のファイル システム関数で使用される場合、同様の脆弱性が発生する可能性があります:

この例では、ユーザーが file_get_contents() の動作を操作して、リモート リソースのコンテンツを取得できるようにします。次のようなリクエストを考えてみましょう:
http://example.org/file.php?file ... mple.org%2Fxss.html
これにより、$content の値が汚染される状況が発生します。は間接的に取得されて渡されるため、この事実は無視される可能性があります。これが、多層防御の原則がファイル システムをリモート データ ソースとして扱い、$content の値を入力として扱うため、フィルタリング メカニズムが事態を好転させる可能性があります。
$content 値が汚染されているため、クロスサイト スクリプティングの脆弱性や SQL インジェクションの脆弱性など、複数のセキュリティ上の脆弱性が発生する可能性があります。たとえば、クロスサイト スクリプティングの脆弱性の例を次に示します。

解決策は、ファイル名を指すために汚染されたデータを決して使用しないことです。入力のフィルタリングを強制するには、ファイル名を指定する前にデータがフィルタリングされていることを確認してください:

ただし、$content 内のデータが完全に問題がない場合は、これが与えられます。読み取ったファイルが、攻撃者が指定したファイルではなく、読み取ろうとしたファイルとまったく同じであるという合理的な保証が提供されます。このプロセスのセキュリティを強化するには、$content を入力として扱い、使用前にフィルタリングする必要もあります。

上記のプロセスは、さまざまな攻撃を防ぐための強力な方法を提供するため、実際のプログラミングで使用することをお勧めします。