勉強したことのメモ

Webエンジニア / プログラマが勉強したことのメモ。

PHPでファイルアップロード時にディレクトリトラバーサル攻撃の対策をする方法

  PHP

あるシステムのセキュリティ対策としてディレクトリトラバーサル(Directory Traversal)攻撃対策をしてほしいと要望を受けた。ディレクトリトラバーサル攻撃というワード自体把握していなかったのでその辺りの詳細とPHPでのファイルアップロード時の対策方法をメモ。

 

ディレクトリトラバーサル(Directory Traversal)とは

ファイル名を扱うようなシステムに対し「../」のような特殊な文字列を送信することで通常ではアクセスできないファイルやディレクトリの内容を取得もしくは書き換えるといった攻撃のこと。

 

対策方法

basename関数でファイル名のみ取り出すことで対策できる模様。

#NGパターン
$filename = './upload/' . $_FILES['test_file']['name'];

#OKパターン
$filename = './upload/' . basename($_FILES['test_file']['name']);

 

所感

普段ファイルアップロードする際は「ランダム英数+タイムスタンプ」といったファイル名にリネームしているので特に影響はなさそうだけど、そのままのファイル名でアップロードする必要が出てきた場合は上記の対策を取るようにしたい。

 

参考サイト

https://teratail.com/questions/78163

 - PHP

  関連記事

PHPでjpg / png画像をAVIF形式の画像に変換する方法
PHPでjpg / png画像をAVIF形式の画像に変換する方法

PHPでjpg / png画像をAVIF形式の画像に変換しサーバに保存したい。W ...

PHPにて指定した期間内の日付を1日ずつループで出力する方法
PHPにて指定した期間内の日付を1日ずつループで出力する方法

PHPにて開始日と終了日をユーザが入力すると、その期間内の日付をYYYY-MM- ...

PHPで複数の画像やテキストファイルをzipファイルとしてダウンロードさせる方法
PHPで複数の画像やテキストファイルをzipファイルとしてダウンロードさせる方法

PHPで画像ファイルやテキストファイルをzip圧縮して、ダウンロードさせたかった ...

他所のサーバからWordPressの記事情報をpostIDを指定して取得する方法
他所のサーバからWordPressの記事情報をpostIDを指定して取得する方法

他所のサーバからWPの記事IDを指定した上で、当該IDのタイトル・アイキャッチ画 ...

PHPでお問い合わせ等のform構築時にCSRF対策を行う方法
PHPでお問い合わせ等のform構築時にCSRF対策を行う方法

他社が制作されたお問い合わせフォームを改修する案件があった。ソースコードを拝見し ...