Aplikacje internetowe

Nieodzownym elementem każdej aplikacji internetowej są pliki tekstowe. Występują one jako miejsce przechowywania danych konfiguracyjnych, szablonów czy samego kodu PHP. Mimo prostoty korzystania z nich należy podjąć pewne kroki, w celu uczynienia tego procesu bezpieczniejszym. Poniżej znajduje się zestawienie kilku sposobów, które to umożliwiają.

Zadanie: dołączenie pliku przekazanego w parametrze

Opis: Dobrą praktyką w tworzeniu niewielkich stron jest utworzenie głównego pliku szablonu oraz dołączanie właściwej treści na podstawie nazwy pliku przekazanej w parametrze adresu URL.

Niebezpieczeństwo: Directory Traversal – listowanie dowolnego katalogu w systemie

Rozwiązania:

1. Filtracja nazwy pliku

a) Ograniczenie nazwy pliku do określonego zakresu znaków.

Korzystając z możliwości dawanych przez mod_rewrite możemy ograniczyć zestaw znaków składający się na nazwę pliku tylko do znaków alfanumerycznych. Dzięki temu do skryptu nie trafią dane umożliwiające napastnikowi wędrowanie między katalogami.

RewriteEngine on
RewriteCond %{QUERY_STRING} file=[A-z0-9]+$ [NC]
   RewriteRule .* - [L]
RewriteRule .* - [F,L]

b) Filtrowanie nazwy pliku.

Podobny efekt jak powyżej możemy uzyskać korzystając z PHPowej funkcji ctype_alnum. Umożliwia ona określenie czy podany ciąg znaków składa się tylko ze znaków alfanumerycznych. Jeśli chcielibyśmy rozszerzyć zakres znaków o dodatkowe elementy możemy posłużyć się funkcją preg_match tworząc odpowiednie wyrażenie regularne np.

if( !preg_match( '@^[A-z0-9]+$@', $_GET['file'] ) )
   die( 'Nazwa pliku nie jest poprawna.' );

c) Wyciągnięcie nazwy pliku z parametru

Kolejną przydatną funkcją PHP jest basename. Służy ona do wyciągnięcia nazwy pliku z podanej ścieżki. Korzystając z niej mamy pewność, że nawet gdy napastnik zmodyfikuje parametr z nazwą pliku tak by umożliwiał on wędrówkę po katalogach nasz skrypt będzie bezpieczny.

2. Sprawdzenie czy plik istnieje.

Po weryfikacji poprawności nazwy pliku należy sprawdzić czy znajduje się on w katalogu z plikami do dołączenia. Przyda się to w wypadku gdy ktoś zmieni ustawione przez nas wartości zmiennych. Proces ten umożliwia funkcja file_exists.

W przypadku gdy strona nie zawiera wielu plików powyższy proces można uprościć korzystając z tablicy zawierającej dostępne nazwy plików.

$files = array( 'about', 'contact', 'sth' );
if( !in_array( $_GET['file'], $files ) )
   die( 'Podany plik nie istnieje' );

Jeśli ilość plików jest większa niż w powyższym przykładzie można go zoptymalizować korzystając z tablicy wielowymiarowej zamiast funkcji in_array.

$files = array( 'about' => 1, 'contact' => 1, 'sth' => 1 );
if( $files[ $_GET['file'] ] !== 1 )
   die( 'Podany plik nie istnieje' );

deny from all

Tagi: bezpieczeństwo plików, directory traversal
Kategoria: Bezpieczeństwo, Bezpieczeństwo aplikacji internetowych