大量文件策略存在目录遍历安全问题？

Question

如果我选择大量文件策略，
然后我就有了目录
遍历安全问题？

我需要编写登录系统，
大量的文件策略意味着

制作大量的 id 文件并使用 扫描目录。

所以该目录将有

aaa.txt （内容是 aaa_pass）
bbb.txt（内容为bbb_pass）
ccc.txt（内容是ccc_pass）

，当有人输入他的ID时，
系统scandir目录，
然后找到id文件。

但是，嘿，如果他输入

“../../important.txt”怎么办？

那么他可以访问 ../../important.txt 吗？

Answer 1

乍一看，您似乎正在走一条有点奇怪的编写登录系统的道路。 我不确定文件系统上的目录中的纯文本文件是否是明智的选择，如果没有其他原因，除了它是异常的，并且您很可能会忽略在更常见的身份验证中已经考虑到的许多微妙之处系统。 例如，如果您想存储散列和加盐的密码，您需要考虑如何在您的方案中实现这一点，并且您可能会犯一个导致安全问题的错误。 不过，使用一个好的 PEAR 库，甚至是 Zend Framework 中的 Zend_Auth 组件，将为您提供一个清晰且有据可查的起点。

无论如何，假设您对问题中描述的安排有自己的理由，那么在这种情况下， basename() 函数可能就是您想要的。 它将删除除文件名本身之外的所有内容，以便他们无法像您在问题中描述的那样进行目录遍历攻击。

因此，如果用户的输入是：

../../important

您可以运行：

$cleanUsername = basename($input);
$filename      = '/path/to/password/files/' . $cleanUsername . '.txt';

if (file_exists($filename)) {
    [...]
}

有意义吗？

Answer 2

您可以在将用户名用作路径的一部分之前对其进行一些验证 - 例如，仅允许字母和数字，您可以使用正则表达式执行类似的操作：

if (!preg_match('/^[a-zA-Z0-9]+$/', $username)) {
    //username is not valid
} else {
    //username is ok to use
}

另一种方法是在您之前对用户名进行哈希处理例如，读取或写入它：

$hash = sha1($username);

这样，用户可以使用任何内容作为他们的用户名，并且他们不会有操纵文件查找行为的危险。 用户名 "../../important.txt" 将为您提供一个哈希值 "48fc9e70df592ccde3a0dc969ba159415c62658d"，尽管源字符串很糟糕，但它是安全的。

Answer 3

如果您别无选择，只能使用此文件密码系统​​（假设您出于某种原因必须这样做），那么除了创建某种混淆的文件名之外，您可能还需要创建与服务器具有相同扩展名的文件-side 语言以防万一 - 例如，如果您使用 PHP，您的文件名将是 john.php （或混淆的“john”），内容可能如下所示：

<?php
    exit; // or maybe even a header redirect --
    /*password goes here*/
?>

当然，您的文件读取例程将需要解析评论块中的短语。

这样，如果有人确实以某种方式到达该文件，它就永远不会呈现。