Sanitize percorso file in PHP

Question

Saluti, Spero di rendere sicuro il mio piccolo programma in modo che i potenziali utenti malintenzionati non possano visualizzare i file riservati sul server.

$path = "/home/gsmcms/public_html/central/app/webroot/{$_GET['file']}"; 


    if(file_exists($path)) { 
     echo file_get_contents($path); 
    } else { 
     header('HTTP/1.1 404 Not Found'); 
    } 

Fuori della parte superiore della mia testa so che di input come ad esempio '../../../../../../etc/passwd' sarebbe guai, ma chiedendosi quali altre input maliziosi che dovrei aspettarmi e come prevenirli.

Answer 1

realpath() consente di convertire qualsiasi percorso che può contenere informazioni relative in un percorso assoluto ... è quindi possibile garantire che il percorso si trovi in ​​una determinata sottodirectory da cui si desidera consentire il download.

Answer 2

Utilizzare basename anziché tentare di anticipare tutti i percorsi non sicuri che un utente può fornire.

Answer 3

Se è possibile, utilizzare una lista di come una matrice di file consentiti e controllare l'input in base a ciò: se il file richiesto dall'utente non è presente nell'elenco, rifiutare la richiesta.

Answer 4

C'è un ulteriore e significativo rischio per la sicurezza qui. Questo script inietterà l'origine di un file nello stream di output senza alcuna elaborazione sul lato server. Ciò significa che tutto il codice sorgente di qualsiasi file accessibile verrà divulgato su Internet.

Answer 5

Soluzione dal PO:

$baseDir = "/home/gsmcms/public_html/central/app/webroot/"; 
$path = realpath($baseDir . $_GET['file']); 

// if baseDir isn't at the front 0==strpos, most likely hacking attempt 
if(strpos($path, $baseDir) !== 0 || strpos($path, $baseDir) === false) { 
    die('Invalid Path'); 
} elseif(file_exists($path)) { 
    echo file_get_contents($path); 
} else { 
    header('HTTP/1.1 404 Not Found'); 
    echo "The requested file could not be found"; 
} 

Answer 6

Anche se si sta utilizzando realpath, si dovrebbe comunque togliere tutto ".." prima di utilizzarlo. In caso contrario, un utente malintenzionato può leggere l'intera struttura di directory del server con forza bruta, ad es. "valid_folder /../../ test_if_this_folder_name_exists/valid_folder" - se l'applicazione accetta questo percorso, l'utente malintenzionato sa che la cartella esiste.

Answer 7

Per rimuovere tutto il /. /.. o \. \ .. e convertire tutte le barre in avanti perché i diversi ambienti accettano la barra diretta. Questo dovrebbe fornire un filtro abbastanza sicuro per l'input del percorso. Nel tuo codice dovresti confrontarlo con le directory madri a cui non vuoi accedere per ogni evenienza.

$path = realpath(implode('/', array_map(function($value) {return trim($value, '.');}, explode('/', str_replace('\\', '/', $path)))));