通过表单提交发送 PHP 文件系统函数的变量

Question

我试图找到一种安全的方法来执行以下操作：

1. 用户将值输入 html 表单。
2. 表格已提交。
3. PHP 使用提交的值作为“scandir”函数的参数。

我的理论是 PHP 脚本中的包含逻辑禁止绝对路径并要求目录名称包含某个值。

我担心黑客可以使用我的表单提交他自己的值并访问敏感文件。

这是一个 JQuery 插件。 我不希望用户必须修改 PHP 文件。

下面的代码如何被黑客攻击？

<?php

$foo = $_POST["some_directory"];

//validate $foo

//make sure path to directory is relative
$foo_url_test  = parse_url($foo);
if (isset($foo_url_test['scheme']) || isset($foo_url_test['host'])) {
$foo = NULL;
}

//make sure the directory name contains 'bar123'
$foo_name_test = preg_split('_[\\\\/]_', $foo);
$foo_name_test = end($foo_name_test);
$foo_name_test = strpos($foo_name_test,'bar123');
if ($foo_name_test === false) {
$foo = NULL;
}

//make sure the path does not contain '..'
$foo_dot_dot_test = strpos($foo,'..');
if ($foo_dot_dot_test == TRUE || $foo_dot_dot_test === 0) {
$foo = NULL;
}

//get files
$files_array = scandir($foo);

?>

Answer 1

您可能想查看 realpath()。

$foo = realpath($foo);
if (substr($foo, 0, 8) != '/my/path') {
    return false;
}

...或类似的东西。

Answer 2

您可能需要进一步详细说明该脚本的用途以及它为何要读取任意目录。 如果没有这些知识，就很难评论这段代码的安全性，除非指出这是一件极其危险的事情，而且对可访问目录没有明确的限制。

就我而言，我永远不会在我的服务器上安装 PHP 脚本，该脚本允许远程攻击者指定要读取的目录，甚至能够查明特定文件或目录是否存在。

有一个强有力的论据要求用户编辑由 php 读取的配置文件，该文件允许服务器所有者将允许此脚本打开的一组目录列入白名单

OP 回复后更新

这里的问题是所有“ajax”请求都是由浏览器直接发出的。 这意味着网络服务器在发出 ajax 请求的 html 页面中设置的任何数据都可能被恶意用户覆盖。 任何人都可以随时使用任何参数发出您的 ajax 请求，除非您以其他方式确保其安全。

一旦您的数据离开服务器，您就无法再信任它。 确保此安全的最佳方法是在服务器端保留允许目录的白名单。 如果您收到对不在允许列表中的目录的请求（或者可能不在允许列表中某个目录下的子目录中），那么您将拒绝该请求并给出标准错误响应。

Answer 3

您的目录名称可以包含 .. 元素，因此它们可以查看您打算限制它们的当前工作目录之外的内容。 不过，他们仍然只能查看按您的意愿命名的目录。

FWIW，使用 parse_url() 来分析目录名是否是相对的确实很奇怪。 为什么不直接查找 $foo[0] == '/' 呢？

（当然，这假定了 Unix 路径约定，但您的代码已经这样做了。）