ホームページ バックエンド開発 PHPチュートリアル ディレクトリトラバーサル攻撃を防ぐための PHP プログラミングの実践

ディレクトリトラバーサル攻撃を防ぐための PHP プログラミングの実践

Jul 05, 2023 pm 08:21 PM
ディレクトリトラバーサル攻撃 PHPプログラミングの練習 フィルタパラメータ(フィルタ) パスのフォーマット(パス処理)

ディレクトリ トラバーサル攻撃を防ぐための PHP プログラミングの実践

ディレクトリ トラバーサル攻撃 (ディレクトリ トラバーサル攻撃) は、ディレクトリ ジャンプの脆弱性やパス トラバーサルの脆弱性とも呼ばれ、一般的な Web セキュリティの脆弱性です。攻撃者は悪意のある入力を構築することで、システム内の機密ファイルを取得したり、悪意のある操作を実行したりしようとします。この記事では、PHP を使用してディレクトリ トラバーサル攻撃を防ぐ安全なコードを作成する方法について説明します。以下では、ユーザー入力のフィルタリングと検証、ファイル パス処理のセキュリティ制御、ファイル アクセス許可の制御の 3 つの側面について詳しく説明します。

1. ユーザー入力のフィルタリングと検証

ディレクトリ トラバーサル攻撃の本質はユーザー入力を通じて達成されるため、まずユーザー入力を効果的にフィルタリングして検証する必要があります。 PHP は、この機能を実装するための一連のフィルター関数と正規表現を提供します。たとえば、preg_match() 関数を使用すると、ユーザー入力に対して通常のマッチングを実行し、有効な文字を含む入力のみを許可できます。サンプルコードは以下の通りです:

function validate_input($input) {
    // 允许的字符为字母、数字、下划线、点和斜杠
    $pattern = '/^[a-zA-Z0-9_./]+$/';
  
    if (preg_match($pattern, $input)) {
        return true;
    } else {
        return false;
    }
}
ログイン後にコピー

2. ファイルパス処理のセキュリティ制御

PHPではファイル操作に相対パスまたは絶対パスを使用するのが一般的です。ディレクトリトラバーサル攻撃を防ぐためには、ユーザーが入力したパスにセキュリティ制御を施す必要があります。まず、realpath() 関数を使用して、ユーザーが入力した相対パスを絶対パスに変換できます。次に、basename() 関数を使用して、パスのファイル名部分を取得してから、安全なファイル パスと比較します。サンプル コードは次のとおりです:

function safe_path($path) {
    $basepath = '/var/www/html/uploads/';
  
    $realpath = realpath($basepath . $path);
  
    if (strpos($realpath, $basepath) === 0) {
        return basename($realpath);
    } else {
        return false;
    }
}
ログイン後にコピー

3. ファイル アクセス許可の制御

ユーザー入力のフィルタリングと処理に加えて、セキュリティ制御もファイル システム レベルで実行する必要があります。まず、Web サイトのルート ディレクトリ (ドキュメント ルート) の外側にあるファイルがアクセスできないことを確認します。次に、Apache や Nginx などの Web サーバーの構成ファイルを使用して、適切なアクセス制御権限を設定します。サンプル コードは次のとおりです。

<Directory "/var/www/html/uploads">
    Options -Indexes
    AllowOverride None
    Order allow,deny
    Allow from all
</Directory>
ログイン後にコピー

上記のセキュリティ対策により、ディレクトリ トラバーサル攻撃を効果的に防ぐことができます。ただし、セキュリティ対策は予防策の一部にすぎず、最も効果的な方法は、セキュリティを Web アプリケーション開発プロセス全体の重要な要素として捉え、包括的なセキュリティ テストを実施することです。

要約すると、ユーザー入力のフィルタリングと検証、ファイル パス処理のセキュリティ制御、ファイル アクセス許可の制御を通じて、PHP コードのセキュリティを向上させ、ディレクトリ トラバーサル攻撃の発生を効果的に防ぐことができます。 . .同時に、Web セキュリティ分野の最新動向や脆弱性にも引き続き注意を払い、Web アプリケーションの安全性を確保するためにセキュリティ対策を迅速に更新および改善する必要があります。

以上がディレクトリトラバーサル攻撃を防ぐための PHP プログラミングの実践の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。

このウェブサイトの声明
この記事の内容はネチズンが自主的に寄稿したものであり、著作権は原著者に帰属します。このサイトは、それに相当する法的責任を負いません。盗作または侵害の疑いのあるコンテンツを見つけた場合は、admin@php.cn までご連絡ください。

ホットAIツール

Undresser.AI Undress

Undresser.AI Undress

リアルなヌード写真を作成する AI 搭載アプリ

AI Clothes Remover

AI Clothes Remover

写真から衣服を削除するオンライン AI ツール。

Undress AI Tool

Undress AI Tool

脱衣画像を無料で

Clothoff.io

Clothoff.io

AI衣類リムーバー

AI Hentai Generator

AI Hentai Generator

AIヘンタイを無料で生成します。

ホットツール

メモ帳++7.3.1

メモ帳++7.3.1

使いやすく無料のコードエディター

SublimeText3 中国語版

SublimeText3 中国語版

中国語版、とても使いやすい

ゼンドスタジオ 13.0.1

ゼンドスタジオ 13.0.1

強力な PHP 統合開発環境

ドリームウィーバー CS6

ドリームウィーバー CS6

ビジュアル Web 開発ツール

SublimeText3 Mac版

SublimeText3 Mac版

神レベルのコード編集ソフト(SublimeText3)

11ベストPHP URLショートナースクリプト(無料およびプレミアム) 11ベストPHP URLショートナースクリプト(無料およびプレミアム) Mar 03, 2025 am 10:49 AM

多くの場合、キーワードと追跡パラメーターで散らかった長いURLは、訪問者を阻止できます。 URL短縮スクリプトはソリューションを提供し、ソーシャルメディアやその他のプラットフォームに最適な簡潔なリンクを作成します。 これらのスクリプトは、個々のWebサイトにとって価値があります

Instagram APIの紹介 Instagram APIの紹介 Mar 02, 2025 am 09:32 AM

2012年のFacebookによる有名な買収に続いて、Instagramはサードパーティの使用のために2セットのAPIを採用しました。これらはInstagramグラフAPIとInstagram Basic Display APIです。

Laravelでフラッシュセッションデータを使用します Laravelでフラッシュセッションデータを使用します Mar 12, 2025 pm 05:08 PM

Laravelは、直感的なフラッシュメソッドを使用して、一時的なセッションデータの処理を簡素化します。これは、アプリケーション内に簡単なメッセージ、アラート、または通知を表示するのに最適です。 データは、デフォルトで次の要求のためにのみ持続します。 $リクエスト -

LaravelのバックエンドでReactアプリを構築する:パート2、React LaravelのバックエンドでReactアプリを構築する:パート2、React Mar 04, 2025 am 09:33 AM

これは、LaravelバックエンドとのReactアプリケーションの構築に関するシリーズの2番目と最終部分です。シリーズの最初の部分では、基本的な製品上場アプリケーションのためにLaravelを使用してRESTFUL APIを作成しました。このチュートリアルでは、開発者になります

Laravelテストでの簡略化されたHTTP応答のモッキング Laravelテストでの簡略化されたHTTP応答のモッキング Mar 12, 2025 pm 05:09 PM

Laravelは簡潔なHTTP応答シミュレーション構文を提供し、HTTP相互作用テストを簡素化します。このアプローチは、テストシミュレーションをより直感的にしながら、コード冗長性を大幅に削減します。 基本的な実装は、さまざまな応答タイプのショートカットを提供します。 Illuminate \ support \ facades \ httpを使用します。 http :: fake([[ 'google.com' => 'hello world'、 'github.com' => ['foo' => 'bar']、 'forge.laravel.com' =>

PHPのカール:REST APIでPHPカール拡張機能を使用する方法 PHPのカール:REST APIでPHPカール拡張機能を使用する方法 Mar 14, 2025 am 11:42 AM

PHPクライアントURL(CURL)拡張機能は、開発者にとって強力なツールであり、リモートサーバーやREST APIとのシームレスな対話を可能にします。尊敬されるマルチプロトコルファイル転送ライブラリであるLibcurlを活用することにより、PHP Curlは効率的なexecuを促進します

Codecanyonで12の最高のPHPチャットスクリプト Codecanyonで12の最高のPHPチャットスクリプト Mar 13, 2025 pm 12:08 PM

顧客の最も差し迫った問題にリアルタイムでインスタントソリューションを提供したいですか? ライブチャットを使用すると、顧客とのリアルタイムな会話を行い、すぐに問題を解決できます。それはあなたがあなたのカスタムにより速いサービスを提供することを可能にします

2025 PHP状況調査の発表 2025 PHP状況調査の発表 Mar 03, 2025 pm 04:20 PM

2025 PHP Landscape Surveyは、現在のPHP開発動向を調査しています。 開発者や企業に洞察を提供することを目的とした、フレームワークの使用、展開方法、および課題を調査します。 この調査では、現代のPHP Versioの成長が予想されています

See all articles