백엔드 개발 PHP 튜토리얼 PHP 언어 개발에서 경로 탐색 취약점을 방지하는 방법은 무엇입니까?

PHP 언어 개발에서 경로 탐색 취약점을 방지하는 방법은 무엇입니까?

Jun 10, 2023 pm 02:24 PM
안전한 프로그래밍 관행 PHP 경로 탐색 취약점 예방

PHP 언어 개발에서 경로 탐색 취약점은 일반적인 보안 문제입니다. 공격자는 이 취약점을 이용하여 시스템의 모든 파일을 읽거나 심지어 변조하여 시스템 보안을 크게 위험에 빠뜨릴 수 있습니다. 이 문서에서는 경로 탐색 취약점을 방지하는 방법을 설명합니다.

1. 경로 탐색 취약점이란 무엇인가요?

디렉터리 탐색 취약점이라고도 알려진 경로 탐색은 공격자가 "../" 연산자 또는 다른 형태의 상대 경로를 사용하여 어떤 수단을 통해 응용 프로그램의 루트에 들어가 읽거나 읽는 데 성공하는 것을 의미합니다. 응용 프로그램과 관련된 모든 파일을 수정합니다.

예를 들어, 사용자가 파일 경로로 "../../../../etc/passwd"를 입력하면 애플리케이션은 파일 경로를 제한하지 않고 사용자가 제공한 경로를 이어붙입니다. 파일 시스템에 침입하면 공격자는 시스템의 민감한 정보를 얻을 수 있습니다.

2. 경로 탐색 취약점을 피하는 방법은 무엇입니까?

  1. 사용자 입력 유효성 검사

경로 탐색 취약점을 방지하는 가장 중요한 단계는 사용자 입력의 유효성을 검사하여 입력에 유효한 문자와 경로 식별자만 포함되어 있는지 확인하는 것입니다. 정규식, 화이트리스트 등을 사용하여 사용자 입력을 필터링할 수 있습니다.

예를 들어 Apache의 일반적인 디렉터리 탐색 취약점은 다음과 유사한 URL을 악용합니다.

http://localhost/index.php?page=../../../../etc/passwd

공격자는 이 URL로 악의적인 요청을 보내 시스템의 민감한 파일을 읽을 수 있습니다. 이 공격을 방지하려면 문자, 숫자, 일부 특수 기호 등 특정 문자만 포함하도록 사용자 입력을 제한할 수 있습니다.

  1. 파일 액세스 제한

애플리케이션은 승인된 사용자만 파일에 액세스할 수 있도록 파일 액세스를 제한해야 합니다. 특히 웹 애플리케이션은 서버의 파일과 디렉터리가 웹 사용자만 읽고 쓸 수 있도록 해야 합니다.

예를 들어 Linux 시스템에서는 chroot를 사용하여 프로세스의 파일 가상 루트 디렉터리를 제한할 수 있습니다. PHP에서는 open_basedir을 사용하여 스크립트 파일의 액세스 권한을 제한할 수 있습니다.

  1. 절대 경로 사용

절대 경로를 사용하면 경로 탐색 취약점을 피할 수 있습니다. PHP에서는 $_SERVER['DOCUMENT_ROOT'] 또는 __DIR__을 사용하여 파일이 있는 절대 경로를 얻을 수 있습니다.

예를 들어, 다음 코드는 경로 탐색 취약점을 피할 수 있습니다:

$file = __DIR__ . $_GET['file'];
if(file_exists($file) {

4ec9e177f5eaea13792b99c4ae1e3102
}

?>


PHP 버전 업데이트
  1. PHP 버전이 5.3.4보다 낮은 경우 즉시 최신 버전으로 업데이트하는 것이 좋습니다. PHP 5.3.4에서는 경로 탐색 취약점을 방지하기 위해 새로운 확인 기능인 realpath_cache_get이 도입되었습니다.

정보 유출 방지
  1. 마지막으로 다음과 같은 방법으로 정보 유출을 줄일 수 있습니다.

오류 보고 비활성화: error_reporting 기능을 통해 오류 보고를 비활성화할 수 있습니다.
  • 별도 로그: PHP 오류 공개 오류 대신 감사 로그에 기록되어야 합니다.
  • 디렉터리 지우기: 불필요한 파일 및 디렉터리를 삭제하고 디렉터리에 대한 액세스를 제한합니다.
  • 요약:

경로 탐색 취약점은 다음과 같은 문제를 일으킬 수 있는 심각한 보안 문제입니다. 제때에 처리하지 않으면 복구할 수 없는 손실이 발생합니다. PHP 개발에서는 위의 원칙을 따르고 경로 탐색 취약점을 방지하기 위한 효과적인 보안 조치를 취해야 합니다.

위 내용은 PHP 언어 개발에서 경로 탐색 취약점을 방지하는 방법은 무엇입니까?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!

본 웹사이트의 성명
본 글의 내용은 네티즌들의 자발적인 기여로 작성되었으며, 저작권은 원저작자에게 있습니다. 본 사이트는 이에 상응하는 법적 책임을 지지 않습니다. 표절이나 침해가 의심되는 콘텐츠를 발견한 경우 admin@php.cn으로 문의하세요.

핫 AI 도구

Undresser.AI Undress

Undresser.AI Undress

사실적인 누드 사진을 만들기 위한 AI 기반 앱

AI Clothes Remover

AI Clothes Remover

사진에서 옷을 제거하는 온라인 AI 도구입니다.

Undress AI Tool

Undress AI Tool

무료로 이미지를 벗다

Clothoff.io

Clothoff.io

AI 옷 제거제

AI Hentai Generator

AI Hentai Generator

AI Hentai를 무료로 생성하십시오.

뜨거운 도구

메모장++7.3.1

메모장++7.3.1

사용하기 쉬운 무료 코드 편집기

SublimeText3 중국어 버전

SublimeText3 중국어 버전

중국어 버전, 사용하기 매우 쉽습니다.

스튜디오 13.0.1 보내기

스튜디오 13.0.1 보내기

강력한 PHP 통합 개발 환경

드림위버 CS6

드림위버 CS6

시각적 웹 개발 도구

SublimeText3 Mac 버전

SublimeText3 Mac 버전

신 수준의 코드 편집 소프트웨어(SublimeText3)

11 최고의 PHP URL 쇼트너 스크립트 (무료 및 프리미엄) 11 최고의 PHP URL 쇼트너 스크립트 (무료 및 프리미엄) Mar 03, 2025 am 10:49 AM

종종 키워드와 추적 매개 변수로 혼란스러워하는 긴 URL은 방문자를 방해 할 수 있습니다. URL 단축 스크립트는 솔루션을 제공하여 소셜 미디어 및 기타 플랫폼에 이상적인 간결한 링크를 만듭니다. 이 스크립트는 개별 웹 사이트 a에 유용합니다

Instagram API 소개 Instagram API 소개 Mar 02, 2025 am 09:32 AM

Instagram은 2012 년 Facebook에서 유명한 인수에 이어 타사 사용을 위해 두 개의 API 세트를 채택했습니다. Instagram Graph API 및 Instagram Basic Display API입니다. 개발자는

Laravel의 플래시 세션 데이터로 작업합니다 Laravel의 플래시 세션 데이터로 작업합니다 Mar 12, 2025 pm 05:08 PM

Laravel은 직관적 인 플래시 방법을 사용하여 임시 세션 데이터 처리를 단순화합니다. 응용 프로그램에 간단한 메시지, 경고 또는 알림을 표시하는 데 적합합니다. 데이터는 기본적으로 후속 요청에만 지속됩니다. $ 요청-

Laravel Back End : Part 2, React가있는 React 앱 구축 Laravel Back End : Part 2, React가있는 React 앱 구축 Mar 04, 2025 am 09:33 AM

이것은 Laravel 백엔드가있는 React Application을 구축하는 데있어 시리즈의 두 번째이자 마지막 부분입니다. 이 시리즈의 첫 번째 부분에서는 기본 제품 목록 응용 프로그램을 위해 Laravel을 사용하여 편안한 API를 만들었습니다. 이 튜토리얼에서는 Dev가 될 것입니다

Laravel 테스트에서 단순화 된 HTTP 응답 조롱 Laravel 테스트에서 단순화 된 HTTP 응답 조롱 Mar 12, 2025 pm 05:09 PM

Laravel은 간결한 HTTP 응답 시뮬레이션 구문을 제공하여 HTTP 상호 작용 테스트를 단순화합니다. 이 접근법은 테스트 시뮬레이션을보다 직관적으로 만들면서 코드 중복성을 크게 줄입니다. 기본 구현은 다양한 응답 유형 단축키를 제공합니다. Illuminate \ support \ Facades \ http를 사용하십시오. http :: 가짜 ([ 'google.com'=> ​​'Hello World', 'github.com'=> ​​[ 'foo'=> 'bar'], 'forge.laravel.com'=>

PHP의 컬 : REST API에서 PHP Curl Extension 사용 방법 PHP의 컬 : REST API에서 PHP Curl Extension 사용 방법 Mar 14, 2025 am 11:42 AM

PHP 클라이언트 URL (CURL) 확장자는 개발자를위한 강력한 도구이며 원격 서버 및 REST API와의 원활한 상호 작용을 가능하게합니다. PHP CURL은 존경받는 다중 프로모토콜 파일 전송 라이브러리 인 Libcurl을 활용하여 효율적인 execu를 용이하게합니다.

Codecanyon에서 12 개의 최고의 PHP 채팅 스크립트 Codecanyon에서 12 개의 최고의 PHP 채팅 스크립트 Mar 13, 2025 pm 12:08 PM

고객의 가장 긴급한 문제에 실시간 인스턴트 솔루션을 제공하고 싶습니까? 라이브 채팅을 통해 고객과 실시간 대화를 나누고 문제를 즉시 해결할 수 있습니다. 그것은 당신이 당신의 관습에 더 빠른 서비스를 제공 할 수 있도록합니다.

2025 PHP 상황 조사 발표 2025 PHP 상황 조사 발표 Mar 03, 2025 pm 04:20 PM

2025 PHP Landscape Survey는 현재 PHP 개발 동향을 조사합니다. 개발자와 비즈니스에 대한 통찰력을 제공하는 프레임 워크 사용, 배포 방법 및 과제를 탐색합니다. 이 조사는 현대 PHP Versio의 성장을 예상합니다

See all articles