防止 PHP 中的目录遍历但允许路径

Question

我有一个基本路径 /whatever/foo/

和 $_GET['path'] 应该是相对于它的。

但是，如何在不允许目录遍历的情况下完成此操作（读取目录）？

例如。

/\.\.|\.\./

无法正确过滤。

Answer 1

好吧，一种选择是比较真实路径：

$basepath = '/foo/bar/baz/';
$realBase = realpath($basepath);

$userpath = $basepath . $_GET['path'];
$realUserPath = realpath($userpath);

if ($realUserPath === false || strpos($realUserPath, $realBase) !== 0) {
    //Directory Traversal!
} else {
    //Good path!
}

基本上， realpath()< /code>会将提供的路径解析为实际的硬物理路径（解析符号链接、..、.、/、 // 等）...因此，如果真实用户路径不是以真实基本路径开头，则它会尝试进行遍历。请注意，realpath 的输出不会有任何“虚拟目录”，例如 . 或 .... 。

Answer 2

ircmaxell 的答案并不完全正确。我在几个片段中看到了该解决方案，但它有一个与 realpath() 的输出相关的错误。 realpath() 函数删除尾随目录分隔符，因此想象两个连续的目录，例如：

/foo/bar/baz/

/foo/bar/baz_baz/

由于 realpath() 会删除最后一个目录分隔符，因此您的方法将返回“good path” 如果 $_GET['path'] 等于“../baz_baz”，因为它可能类似于

strpos("/foo/bar/baz_baz", "/foo/bar/baz")

：

$basepath = '/foo/bar/baz/';
$realBase = realpath($basepath);

$userpath = $basepath . $_GET['path'];
$realUserPath = realpath($userpath);

if ($realUserPath === false || strcmp($realUserPath, $realBase) !== 0 || strpos($realUserPath, $realBase . DIRECTORY_SEPARATOR) !== 0) {
    //Directory Traversal!
} else {
    //Good path!
}

Answer 3

仅检查 ../ 等模式是不够的。以“../”为例，URI 编码为“%2e%2e%2f”。如果您的模式检查发生在解码之前，您将错过这次遍历尝试。黑客还可以使用一些其他技巧来绕过模式检查器，特别是在使用编码字符串时。

我最成功地阻止了这些问题，方法是使用 ircmaxwell 建议的 realpath() 之类的方法将任何路径字符串规范化为其绝对路径。只有这样，我才开始通过将遍历攻击与我预定义的基本路径进行匹配来检查遍历攻击。

Answer 4

在研究新文件或文件夹的创建时，我认为可以使用两阶段方法：

首先使用类似函数的自定义实现来检查遍历尝试，但是该函数可以工作对于任意路径，而不仅仅是现有文件。 这里是一个很好的起点。使用 urldecode() 以及您认为值得检查的其他内容来扩展它。

现在使用这种粗略的方法，您可以过滤掉一些遍历尝试，但您可能会错过一些特殊字符、符号链接、转义序列等的黑客组合。但是因为您确定目标文件不存在（使用 < code>file_exists) 没有人可以覆盖任何内容。最坏的情况是，有人可以让您的代码在某处创建文件或文件夹，这在大多数情况下可能是可接受的风险，前提是您的代码不允许他们立即写入该文件/文件夹。

最后，路径现在指向现有位置，因此您现在可以使用上面建议的方法利用 realpath() 进行正确的检查。如果此时发现发生了遍历，只要确保防止任何写入目标路径的尝试，您或多或少仍然是安全的。现在您还可以删除目标文件/目录并说这是一次遍历尝试。

我并不是说它不能被黑客攻击，因为毕竟它仍然可能允许对 FS 进行非法更改，但仍然比仅进行自定义检查要好，因为自定义检查不能利用 realpath()，并且通过在某处创建临时的空文件或文件夹而打开的滥用窗口比允许他们将其永久化甚至写入其中的窗口要低，因为只有自定义检查才会发生这种情况，可能会错过一些边缘情况。

如果我错了也请纠正我！

Answer 5

您可能会尝试使用正则表达式来删除所有 ../s，但是 PHP 中内置了一些不错的函数，可以做得更好：

$page = basename(realpath($_GET));

basename - 从路径中删除所有目录信息，例如 ../ pages/about.php 将变为 about.php

realpath - 返回文件的完整路径，例如 about.php 将变为 /home/www /pages/about.php，但前提是该文件存在。

组合起来，它们仅返回文件名，但前提是文件存在。

Answer 6

我编写了一个函数来检查遍历：

function isTraversal($basePath, $fileName)
{
    if (strpos(urldecode($fileName), '..') !== false)
        return true;
    $realBase = realpath($basePath);
    $userPath = $basePath.$fileName;
    $realUserPath = realpath($userPath);
    while ($realUserPath === false)
    {
        $userPath = dirname($userPath);
        $realUserPath = realpath($userPath);
    }
    return strpos($realUserPath, $realBase) !== 0;
}

仅此行 if (strpos(urldecode($fileName), '..') !== false) 应该足以防止遍历，但是，有黑客可以通过多种不同的方式遍历目录，因此最好确保用户从真实的基本路径开始。

仅检查用户以真实基本路径开头是不够的，因为黑客可以遍历到当前目录并发现目录结构。

while 允许代码在 $fileName 不存在时运行。

Answer 7

在我的版本中，我将 $_GET['file'] 替换为 $_SERVER['REQUEST_URI'] 以从服务器变量中获取请求的 URI。然后，我使用 parse_url() 和 PHP_URL_PATH 常量从 URI 中提取路径部分，不包括任何查询参数。

脚本的其余部分执行路径规范化，根据基目录验证文件路径，检查文件是否存在，并将文件提供给用户。

通过使用 $_SERVER['REQUEST_URI']，即使未将文件参数显式设置为查询参数，您也可以处理从 URL 提取文件路径。

$baseDirectory = '/path/to/file/'; // Define the base directory where the file(s) is/are located

if ($_SERVER['HTTP_HOST'] == 'localhost') { 
    $baseDirectory = 'C:\xampp\htdocs'; // For localhost use
}

// Check if the 'REQUEST_URI' is set in the server variables
if (!isset($_SERVER['REQUEST_URI'])) {
    $this->logger->logEvent('REQUEST_URI NOT SET: '.__LINE__.' '.__FILE__);
    die('Invalid file request');
}

// Get the requested URI from the server variables
$requestedUri = $_SERVER['REQUEST_URI'];

// Extract the file path from the requested URI
$requestedFile = parse_url($requestedUri, PHP_URL_PATH);

// Normalize the file path to remove any relative components
$requestedFile = realpath($baseDirectory . $requestedFile);

// Check if the normalized file path starts with the base directory
if (strpos($requestedFile, $baseDirectory) !== 0) {
    $this->logger->logEvent('Directory Traversal: '.$requestedUri);
    die('Invalid file path');
}

// Check if the requested file exists
if (!file_exists($requestedFile)) {
    $this->logger->logEvent($requestedFile. ' not found: '.__LINE__.' '.__FILE__);
    die('File not found');
}
// Serve the file to the user

Answer 8

使用此或其他解决方案的风险由您自行承担。您应该检查测试代码中的期望&然后修改路径遍历代码以满足您的需要。这也可能会错过一些我不想测试的边缘情况。

请参阅先前版本的编辑。我之前的版本设计过度了。

删除路径遍历

<?php
/**
 * Remove path traversal from a string path. Path expected to be from a url, so it is urldecoded
 */
function remove_path_traversal(string $path): string {
    $path = str_replace("\\","/",$path);
    $has_lead = substr($path,0,1)=='/';
    $has_trail = substr($path,-1)=='/';
    $path = '/'.$path.'/';
    while (strpos($path, '/../')!==false || strpos($path, '/./')!==false){
        $path = '/'.str_replace(['/../','/./'],'/',$path);
    }
    $path = str_replace(['////','///','//'],'/',$path);
    if (!$has_trail&&substr($path,-1)=='/')$path = substr($path, 0,-1);
    if (!$has_lead)$path = substr($path,1);
    return $path;
}

测试功能

创建一个.php文件并使用php traversaltest.php运行它

<?php
require(__DIR__.'/../src/functions.php'); // or wherever you defined the function

$urls = [
    "/" => "/",
    "/test" => "/test",
    "/test.html" => "/test.html",
    "/test/./" => "/test/",
    "/test/./some-file.txt" => "/test/some-file.txt",
    "/test/../some-file.txt" => "/test/some-file.txt",
    "//../test/../some-file.txt" => "/test/some-file.txt",
    "/dir/../../../../test.html" => "/dir/test.html",
    "/dir/./../.../..../...../....../test.html" => "/dir/.../..../...../....../test.html",
    "../abc/def/" => "abc/def/",
    "/abc/def/.." => "/abc/def",
    "abc/def/.." => "abc/def",
];

echo "\n\n";
foreach ($urls as $url => $target_file){
    $safe_path = \Bear\remove_path_traversal($url);

    if ($safe_path == $target_file)$status = "pass";
    else $status = "fail";
    echo "\n($status) Input($url), output($safe_path), expected($target_file)";
}

echo "\n\n";

Answer 9

1

为 -Index 块放置一个 null index.htm

2

在启动时过滤 sQS

// Path Traversal Attack
if( strpos($_SERVER["QUERY_STRING"], "../") ){
    exit("P.T.A. B-(");
}