[翻訳] PHP イメージアップロード保安: まともに夏至ない方法 PHP Image Upload Security: How Not to Do It

[これ文の題目を直訳すれば ‘PHP イメージアップロード保安: まともに夏至ない方法’載せる. 本文で保安をまともに夏至ない方法たちを批判して自分のノーハウを提示するのに, そのため題目を風刺的に付けたみたいだ. 原文は PHP Image Upload Security: How Not to Do It 載せる.- ヒョングウ]

ゲーム話をしながらちょっと休んでから行こう. ウェブ開発世界へ行く短い旅行に関するゲームだ. [イメージがアップロードされる過程をウェブ開発世界へ行く短い旅行だと比喩したのようだ - ヒョングウ] (Let’s take a break from talking about games for a brief journey into the world of web development.)

私は PHP路仕事をまどろみ日来た. そして私はファイルアップロード保安に大海言って報告たい.

ファイルアップロードはウェブ開発者にまどろみ怖じける仕事だ. 誰だかも分からないこれらが誰ファイルや願い次第にあなたの大事なウェップサーバーにあげるように許容することのだからだ.これ文で私は汚職イメージアップロードと, 使用者があなたに伝達するのが実際イメージなのか確実にする方法に大海だけ扱うのだ.

Part I: The Evil `$_FILES["file"]["type"]`

何番(回)も, (私が青年期時作成したコードを含んで) 私はこういう似ているコードを見た.

$valid_mime_types = array(
  "image/gif",
  "image/png",
  "image/jpeg",
  "image/pjpeg",
);

// アップロードされた ファイルが 実際 イメージなのか チェックする.
// イメージが 当たれば 正しい フォルダで 移す.
if (in_array($_FILES["file"]["type"], $valid_mime_types)) {
  $destination = "uploads/" . $_FILES["file"]["name"];
  move_uploaded_file($_FILES["file"]["tmp_name"], $destination);
}

上コード切れはイメージなのか検査することためアップロードされたファイルのパントマイムタイプを検査する. そして出て通過されれば相応しい位置にファイルを移す. それでは何が問題だろう? 勿論,ファイルアップロード制御に関する文書を読んだら,$_FILES["file"]["type"]に大韓注意事項を気を使って紫.(pay attention to what it has to say about $_FILES["file"]["type"])

これ価格は完全に, クライアントが制御可能だ. PHP 方で検証する数ある値段がない.

ウェブ保安で始めて番目規則は使用者が送ったデータを絶対に信じるのないでねと言うのだ. クライアントがイメージと言うと真書ファイルをサーバーに許容するのは, 何も盗むのないと言うと真書見知らぬ人に家鍵を任せるのとような仕業だ. ここそんな弱みを利用した簡単なスクリプト例題がある.

// 攻撃 目標
$host = "127.0.0.1";
$port = 8887;
$page = "/server.php";

// 私たちが アップロードする ファイル (content-typeに 注目しなさい) :
$payload =
"------ThisIsABoundary
Content-Disposition: form-data; name="file"; filename="evil.php"
Content-Type: image/jpeg

上スクリプトは evil.php ファイルをアップロードするようにする標準 HTTP 要請だ. もしサーバーがアップロード検証をのために $_FILES["file"]["type"]に寄り掛かったら私たちがイメージを送信受けたという錯覚をするようになるのだ.

Part II: アパッチ mod_mime モジュールと多重ファイル拡張子機能 (The mod_mime Apache Module and Multiple File Extensions)

そう, それでは解決策はなにか? どうな人々は拡張子をチェックする. サーバーがファイル拡張子を基盤で相応しいハンドラーとコンテンツ種類は決めることのだからだ.こういうコードは大部分の場合寝る作動する.

$valid_file_extensions = array(".jpg", ".jpeg", ".gif", ".png");

$file_extension = strrchr($_FILES["file"]["name"], ".");

// 上って来た ファイルが 実際で イメージなのか チェックする.
// もし イメージなら 保存 フォルダで 移す.
if (in_array($file_extension, $valid_file_extensions)) {
  $destination = "uploads/" . $_FILES["file"]["name"];
  move_uploaded_file($_FILES["file"]["tmp_name"], $destination);
}

こんなにすればサーバー設定によっては安全な首都ある. これを分かるとするのに, 痛がるのはようなファイルに大海多重ファイル拡張子を設定するように割数ある.[これ機能が何やらを分かると寝る解釈する数あるのようなのに, 多分拡張子を二犬付けて二犬のファイル形式で痛がら理解する数あるようにする機能なのか見る. - ヒョングウ] これギヌングウンオンオと内容形式をたいてい番(回)に判断するようにするファイル名前を許容するやけどする有用な首都あるが, これ機能を認知するのできない開発者に保安弱みがなる.(Apache can be configured to interpretmultiple file extensions for the same file.While it might be useful for allowing a filename to determine both language and content type at once, it also presents a security vulnerability to developers who are unaware of this feature.)

多重ファイル拡張子弱みを利用するやけどする星技術が必要な蟹ない. 誰 PHP ファイルや選んで名前終りに終りに .jpgを追加した次脆弱なサーバーにアップロードして見なさい. そしてブラウザーで彼ファイルを開いて見ることだ. こういえば痛がらスクリプトを回して彼結果が現われる. 冷えたおかゆ墨期だ.

Part III: イメージで偽装したスクリプト

操作されたパントマイムタイプと追加ファイル拡張子に注意を傾ける人々はたびたび getimagesize() ようなのを使ってアップロードされたファイルが実際でイメージファイルなのか確認する.

if (@getimagesize($_FILES["file"]["tmp_name"]) !== false) {
  $destination = "uploads/" . $_FILES["file"]["name"];
  move_uploaded_file($_FILES["file"]["tmp_name"], $destination);
}

まさか, イメージは危ないでしょうないことと思うが? 内言葉は, これ子猫を見なさいということだ :

私子猫は誰も害する数ない. 勿論だ. 増える白子猫だけ会う数あるように望む. (Surely, an image can’t be harmful? I mean, look at this kitten: That kitten could never hurt anyone, right? Just count yourself lucky that it’s a white hat kitten.)

今絵をクリックして何か仕事が起るのか見よう. (鳥窓で開かれる.) まったく同じな子猫が出ると割ことだ. するが今度には, 私がそれを PHP スクリプトで回してある. これを夏期のために私は素敵な jhead toolを使った. そして私は原本子猫絵中にメッセージを内蔵した. 内メッセージはこんなに見えることだ :

<?php blahblahblah(); __halt_compiler();

__halt_compiler()関数を私位置で呼び出すことで, PHP街イメージデータを解釈してパッシングエラーを出力する事故が発生するのないようにする. 載せるように実際イメージデータが出力されること前に出力が止める理由だ. 私が実際で使ったガール報告たければ, 子猫イメージをダウンロード(マウスウクルリック後, 違う名前で保存を選択)真書, 走路使うテキストエディタで開いて見ればなる.

Part IV: 終り

上にある保安検事は確実に益体もない件ない. アップロードされた蟹確実にイメージになるように望んだら, それが確実にイメージなのか検査する件良い仕事だ. 保安をのために色々段階を置く件増える良い仕事だ. するが私たちバングオマックをくぐってこっそりと入って来る数ある PHP スクリプトはどうにするとしようか?

私たち目標は団地アップロードされたファイルがイメージなのか確認するのだけがない. サーバーがどうなスクリプトハンドラーも行うのないようにするのだ. 私が楽しんで使う方法はアパッチのForceType directive だ.

ForceType application/octet-stream

<FilesMatch "(?i).jpe?g$">

    ForceType image/jpeg

</FilesMatch>

<FilesMatch "(?i).gif$">

    ForceType image/gif

</FilesMatch>

<FilesMatch "(?i).png$">

    ForceType image/png

</FilesMatch>

これコードをアップロードディレクトリの.htaccessファイル中に入れなさい. それではイメージを自分の基本ハンドラーすることだけして連関されるように割のだ. [イメージ拡張子が付いた奴はイメージにだけ認識するという意味だ. - ヒョングウ] 違うあらゆるものなどがバイトストリームだけで解釈されて, ハンドラーは実行されるのないのだ. (Everything else will be served as a plain byte stream and no handlers will be run.)

私はもっと進んで “turn PHP off” 解法(php_flag engine off)を使う. サーバーに perl, python などを回してある場合にそうにすれば あらゆる スクリプトハンドラーをたいてい部屋に鑿数ある. 勿論, 安全をのために二方法をだ使う首都ある.

もっとましな解法はファイルをウェブディレクトリ外に置いてファイルが全然解釈されるのないようにするのだ. それではファイルを要請受けて, 連関されたファイルをファイルシステムで捜して, 正しいヘッダーと一緒に出力して竝び数あるスクリプトを組むとする. 勿論使用者入力[要請]を基盤でファイルを出すのはそれ自らの保安弱みが存在するが, それはまた違う話だ. [ファイルダウンロードスクリプトでファイルをダウンするようにする件 URL 操作などの攻撃をあう数ある. - ヒョングウ]

最後に重要なこと一つだけもっと言わば, 常にアップロードされたファイルの名前を変更するとするというのだ. 攻撃者が私たち弄ぶこと大変になるように名前を無作為で選ぶとする. そして.htaccess私.user.iniファイルを誰も被る数ないようにするとする. (neither of which be a good thing これ後に付いてあるのに何言葉なのか分からなさ – ヒョングウ)

ウェブには保安に関して多い資料たちがある. もし資料をもっと報告たければOWASPを察して見なさい.OWASP Cheat Sheet ページをまっすぐに察して見るゴッドゾッダ.

- コメント機能はありません。コメントの代わりに[email protected]にメールを送ってください。

Part I: The Evil $_FILES["file"]["type"]

Part II: アパッチ mod_mime モジュールと 多重 ファイル 拡張子 機能 (The mod_mime Apache Module and Multiple File Extensions)

Part III: イメージで 偽装した スクリプト

Part IV: 終り

Part I: The Evil `$_FILES["file"]["type"]`

Part II: アパッチ mod_mime モジュールと多重ファイル拡張子機能 (The mod_mime Apache Module and Multiple File Extensions)

Part III: イメージで偽装したスクリプト