PHP を使用してパス トラバーサルの脆弱性から保護する方法

脆弱性はコードにおける避けられない問題であり、パストラバーサル脆弱性は一般的なタイプの脆弱性の 1 つです。パス トラバーサルの脆弱性は、通常、入力の正当性チェックが緩いこと、またはロジックが不明確であることが原因で発生します。攻撃者はこの脆弱性を悪用して、アプリケーション システムの外部のリソースにアクセスする可能性があります。

この記事では、パス トラバーサルの脆弱性の原理と危険性を紹介し、パス トラバーサルの脆弱性を防ぐ効果的な PHP テクニックをいくつか紹介します。

1. パス トラバーサルの脆弱性の害

パス トラバーサルの脆弱性は一般的なタイプの脆弱性で、攻撃者はこの脆弱性を利用してアプリケーションのアクセス制御をバイパスし、未知のファイルにアクセスする可能性があります。許可されたファイルとディレクトリ。

PHP では、一部の関数 (include、require、file_get_contents など) を使用して、PHP スクリプト ファイルまたは他のファイルを読み取って実行できます。攻撃者は、関数パラメータで ../ などの相対パス記号を使用して、パス トラバーサルを実行する可能性があります。

たとえば、攻撃者は次の URL を変更する可能性があります:

http://example.com/index.php?file=../../../../。 ./ ../etc/password

がターゲット Web アプリケーションに送信されるため、/etc/password ファイルの内容が読み取られて漏洩します。

2. パス トラバーサルの脆弱性を防ぐ方法

パス トラバーサルの脆弱性を回避するには、次の 3 つの取り組みを行う必要があります:

1. ユーザー入力のフィルター

ユーザーからの入力については、攻撃者が不正な文字を挿入したり、パス チェック機能をバイパスしたりすることを防ぐために、効果的なフィルタリングが必要です。 PHP の組み込み関数 (realpath、basename、dirname など) を使用して、ユーザー入力をフィルタリングできます。

たとえば、include 関数を使用する場合、ユーザーが入力したファイル名を最初にパスとファイル名でフィルタリングできます。例:

$filename = $_GET['filename' ];
$filename = str_replace(array('/', '\'), '', $filename);
$filename = realpath(__DIR__.'/'.$filename);

またはこれは、basename と dirname を組み合わせることで実現されます。

$filename = $_GET['filename'];
$filename =basename($filename);
$filename = realpath( __DIR__.'/ '.dirname($filename).'/'.$filename);

これらのフィルタリング メソッドは、相対パスと不正な文字を削除し、最後に絶対パスを返し、パス トラバーサル攻撃を効果的に回避します。 。

2. Web サーバーのアクセス許可を制限する

攻撃者によるシステム ファイルへのアクセスの試みを制限するには、Web サーバーを最小限の権限で実行する必要があります。 Web サーバーは、アプリケーションが必要とするディレクトリとファイルのみにアクセスし、それ以外にはアクセスしないように構成する必要があります。

さらに、アプリケーション内の特定の構成ファイルやキー ファイルの漏洩を防ぐために、これらのファイルを Web サーバーのアクセス可能なディレクトリから移動する必要があります。

3. 定期的なアップデート

パス トラバーサルの脆弱性のリスクはフィルタリングと権限制御によって軽減できますが、この脆弱性による継続的なリスクを認識しておく必要があります。したがって、コード内の防御手段を常に更新および改善し、脆弱性をタイムリーに修正し、脆弱性スキャンを実施して、Web アプリケーションのセキュリティを確保する必要があります。

3. 結論

パス トラバーサルの脆弱性は一般的なタイプのセキュリティ脆弱性ですが、厳密なコーディング手法と予防策によって効果的に防御できます。ユーザー入力をフィルタリングし、Web サーバーへのアクセスを制限し、コードを定期的に更新して脆弱性スキャンを実行することで、パス トラバーサル攻撃から Web アプリケーションを効果的に保護できます。

以上がPHP を使用してパス トラバーサルの脆弱性から保護する方法の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。