Yüklenen dosyanın herhangi bir sunucuda PHP ile çalıştırılmasını nasıl güvenli bir şekilde engellersiniz?

Question

Uzantısı .php olmasa bile, PHP üzerinden bir dosya çalıştırmanın mümkün olduğunu fark ettim, örneğin test.xyz.php.whatever.zyx dosyası, uzantı .php olmasa bile PHP ile çalışabilir! Dosya adında sadece .php. olması ve Apache'nin PHP betiğini çalıştırması yeterli oluyor. (Birisi önerdiği gibi)

Ben bu klasörde bir .htaccess dosyada bu koymak için çalıştı:

php_flag engine off 

Ama benim makinede işe yaramadı. Ben biliyorum

sadece çözümler şimdi şunlardır:

• isim ver .txt olarak, PHP ile böyle çalışmaz dosya uzantısı, bilinen.
• Dosya ismindeki tüm noktaları kaldırın, böylece uzantılarını serbest bırakın.

Ancak bu çözümlerin diğer sunucularda Windows sunucumdan (Apache ile) nasıl çalışacağından hala emin değilim.

Herhangi bir şekilde yeniden adlandırılacak dosya adlarına ihtiyaç duymayan başka çözümler var mı?

Answer 1

php_flag engine off yerine, tek bir dizin için bir .htaccess dosyası kullanarak PHP dosyalarının işleyicisini kaldırabilirsiniz. İçinde PHP devre dışı bırakıyorsunuz dizinde

, .htaccess içermelidir: Büyük olasılıkla varsayılan Apache yapılandırmasında yapılandırılmış hangi AddHandler türleri bağlı olarak aşağıda ancak kurtulabiliriz

RemoveHandler .php .phtml .php3 .php4 .php5 
RemoveType .php .phtml .php3 .php4 .php5 

, pencerelerde, Ayrıcakaplıdır, .htaccess dosyasını içeren dizin olduğunu, ana apache yapılandırma dosyasında sağlamak gerekecektir C:\Program Files\Apache<version>\conf\httpd.conf

RemoveHandler .php 
RemoveType .php 

olmalıdır ki, AllowOverride FileInfo setine sahipbildirimi. .htaccess dosyalarını başka amaçlarla kullanacaksanız AllowOverride All'u düşünmek isteyebilirsiniz - farklılıkların bir açıklaması için bkz. the Apache documentation for AllowOverride.

Answer 2

bu gerçekten iyi bir cevap değil ama bazı özel durumlarda yararlı umut ...

böyle .htaccess dosyada algılaması sağlanabilir:

RewriteRule ^(.+).xyz.php.whatever.zyx$ index.php?openfile=$1 [NC,L] 

ve index.php dosya içindeki:

$file = secure_this_string($_GET['openfile']); 
include($file.'.xyz.php.whatever.zyx'); # or some other files 

Bu yanıtı güvenlik nedenleriyle görmeyi unutmayın. StackOverFlow

ve test.xyz.php.whatever.zyx dosyasında:

istemci /test.xyz.php.whatever istekleri şimdi ise

<?php echo 'hello'; 

.zyx dosyası, koymak dışarı (doğrudan adresleme) Sana Sadece Sen Erişim klasörünü yüklemek için var bu durumda kök yoluna üzerindeki bir katmanda klasör yükleme öneririz kullanıcılar tarafından yükleme için

Answer 3

'merhaba' olmalıdır ve bir saldırganın zararlı dosyayı çalıştırmak için Böylece bir saldırganın eylemini devre dışı bu klasöre herhangi dosyalara erişim değil

burada ne olacağını anlamak için gereken tüm arasında

Answer 4

İlk:

test.xyz.php.whatever.zyx 

Böyle bir dosya bir web sunucusu üzerinde kendi başına hiçbir şey yapmazdı. Sadece eklenmiş yapılandırma Apache'ye PHP'yi bu dosya üzerinde çalıştırmasını söyler. Bir yığılmış dosya uzantısı en sonuna ya kısmında olsun - Bunu ekledi yapılandırmayı kaldırırsanız

Dolayısıyla Apache orada .php bulmak için umursamayacak.

Sunucu yapılandırmanızda php için hangi tanıtıcıyı ayarladığınızı kontrol edin. Yükleme dizini için kaldırın. Bu daha sonra yüklenen dosyalarda sahip olabileceğiniz diğer yapılandırma sorunlarını çözmeyecektir, ancak PHP dosyaları artık PHP tarafından gerçekleştirilmeyecek - doğru olanı anladım.

Bunun ne hakkında olduğunu öğrenmek için bir sorunla karşılaşırsanız, PHP yapılandırmanızı sisteminiz için httpd.conf dosyanıza ve ilişkili Apache HTTPD yapılandırma dosyalarına göndermeniz gerekir.

direktif birileri .htaccess için söyledim: Bir apache SAPI modülü olarak derler çalıştırıyorsanız

php_flag engine off 

sadece çalışır.

Answer 5

Basit regex bizim sunucuda oldukça kolay sorunu yeniden herhangi bir sunucuya

Answer 6

üzerine işi

<?php 
$a = strtolower($_FILES["file"]["name"]); 
$replace = array(".php", ".phtml", ".php3", ".php4", ".php5"); 
$_FILES["file"]["name"] = str_replace($replace, "", $a); 
?> 

Bu iyi çalışır yapardı. Bunu düzeltmek için bir yol yoktur, sen hatları

#application/x-httpd-php        phtml pht php 
#application/x-httpd-php-source     phps 
#application/x-httpd-php3      php3 
#application/x-httpd-php3-preprocessed   php3p 
#application/x-httpd-php4      php4 
#application/x-httpd-php5      php5 

Bu satırlar adına php ile bir şey işlenecek neden /etc/mime.types düzenlemek ve dışarı yorum yapmak gerekir. Eğer mime.types dosyasına içinde ilişkin satırları kez , /etc/apache2/mods-enabled/php5.conf içinde mod_php yapılandırma doğru sadece dosyaları nedir .php

<FilesMatch "\.ph(p3?|tml)$"> 
    SetHandler application/x-httpd-php 
</FilesMatch> 

ile SONLANDIRMA işleyen bu girişi vardır REALLY SCARY bu varsayılan bir yapılandırma (bizim durumumuzda Ubuntu 10.04) 'dir.

---

DÜZENLEME

Windows'ta mime.types dosyasına dosya apache_home/conf/mim olmalıdır.tipleri

Answer 7

tamamen güvenli olması için, bir kaç şey yapmak gerekir:

bir tarayıcıdan o ulaşılmaz hale senin "kamu" klasörüne yukarıdaki yükleme dizinini ayarla

. Bu ayar php.ini dosyasında (php config dosyası). Etkili olması için Apache'yi yeniden başlatmanız gerekecek.

upload_tmp_dir = "/var/tmp/" 

YA, WAMP yüklemek benim yerel Windows 7, bu ayarlandığında: En Redhat/Fedora/CentOS web sunucuları, bu olabilir çalışmasını

upload_tmp_dir = "c:/wamp/tmp" 

devre dışı bırak komut dizin (c:/wamp/tmp), .htaccess:

PHP komut dosyasında

RemoveHandler .php .phtml .php3 
RemoveType .php .phtml .php3 
php_flag engine off 

, hayır (yüklenen dosyayı almak mime dayanarak filtrelemek t filetype uzantısı), dosya adını değiştirin ve güvenli bir şekilde erişilebilen bir klasöre koyun. Daha ayrıntılı olarak:

• , eski dosya türlerinden bir beyaz liste oluşturun: Yalnızca görüntüleri (jpeg, png, gif, bmp). Bu genellikle orijinal dosya + tuz + zaman damgası dayanan rastgele MD5 hash kullanmak en iyisidir, yeni bir dosya adı seçin mime_content_type()http://php.net/manual/en/function.mime-content-type.php ya da daha yeni finfo_file()http://us3.php.net/manual/en/function.finfo-file.php
• kullanılarak yapılabilir. ortak bir klasöre
• hareket bu, örn: "c:/wamp/www/project_name/kamu/yüklemeler"

Tercihen bu tür dosya tipi süzme içeren Zend Framework gibi bir MVC çerçeve kullanır.

Bunların hepsini yaparsanız, güvende olmalısınız. Açıkçası, kesinlikle eski sistemler üzerinde PHP, MySQL, komut satırı, vb, hedefleyen sayısız belirsiz yararlar vardır, çünkü% 100 güvenli asla olmayacak. Daha büyük şirket web sunucularında (üzerinde çalıştığım şey), her şeyi devre dışı bırakır ve seçici olarak yalnızca proje için gerekenleri etkinleştirir. WAMP gibi bir sistemle, yerel gelişmeyi kolaylaştırmak için herşeyi sağlarlar.

Profesyonel bir proje üzerinde çalışmak için iyi bir uygulama, Rackspace veya Amazon ile bir bulut sunucu hesabı almak ve php.ini ve httpd.conf ayarlarının yanı sıra PHP güvenlik en iyi uygulamalarının nasıl yapılandırılacağını öğrenmektir. Genel olarak, kullanıcıların girdisine güvenmeyin, bozuk/kötü niyetli/kötü biçimlendirilmiş olmasını bekleyin ve sonunda güvende olacaksınız.

Answer 8

aşağıdaki .htaccess -Kod çalışmak ve "php" içeren dosyalara erişim inkar edemezdi:

<FilesMatch "php"> 
    Deny from all 
</FilesMatch> 

Answer 9

Şahsen bu artık hiçbir koşulda web sunucusuna dosya yüklemek ana nedenidir. Bunun yerine, S3/Amazon SDK'yı kullanarak yüklenen geçici dosyayı S3'teki Özel izinler ile bir kovaya doğrudan aktarıyorum (S3 kullanıyorum, diğer CDN'ler de işe yarayacak). Dosyanın bir web istemcisi tarafından görüntülenmesi veya görüntülenmesi gerekiyorsa, dosyayı almak ve görüntülemek için SDK ile bütünleşen bir "getter" işlevi kullanıyorum.

bir web sunucusuna dosya yükleme her türlü izin verdiği sürece devreye girer sadece çok kontrol edilemeyen değişken vardır, izinleri, filtreleme ve hatta sadece alanını yönetmek zor olabilir. S3 (veya başka bir CDN) ile, yönetmesi çok kolaydır ve tüm dosyalar varsayılan olarak sunucudan etkin bir şekilde karantinaya alınır.

Answer 10

Apache sitesinde güvenilmeyen dosyaları içeren dizin için tüm dinamik işleyicileri devre dışı olabilir. Dosyaları yeniden adlandırma

SetHandler default-handler