勉強したことのメモ

Webエンジニア / プログラマが勉強したことのメモ。

PHPでファイルアップロード時にディレクトリトラバーサル攻撃の対策をする方法

  PHP

あるシステムのセキュリティ対策としてディレクトリトラバーサル(Directory Traversal)攻撃対策をしてほしいと要望を受けた。ディレクトリトラバーサル攻撃というワード自体把握していなかったのでその辺りの詳細とPHPでのファイルアップロード時の対策方法をメモ。

 

ディレクトリトラバーサル(Directory Traversal)とは

ファイル名を扱うようなシステムに対し「../」のような特殊な文字列を送信することで通常ではアクセスできないファイルやディレクトリの内容を取得もしくは書き換えるといった攻撃のこと。

 

対策方法

basename関数でファイル名のみ取り出すことで対策できる模様。

#NGパターン
$filename = './upload/' . $_FILES['test_file']['name'];

#OKパターン
$filename = './upload/' . basename($_FILES['test_file']['name']);

 

所感

普段ファイルアップロードする際は「ランダム英数+タイムスタンプ」といったファイル名にリネームしているので特に影響はなさそうだけど、そのままのファイル名でアップロードする必要が出てきた場合は上記の対策を取るようにしたい。

 

参考サイト

https://teratail.com/questions/78163

 - PHP

  関連記事

PHP8系で「Warning: Attempt to read property
PHP8系で「Warning: Attempt to read property "xxxxxx" 」エラーの対応方法

PHP8系&WordPress6.4.3で「Warning: Attem ...

【2024年版】PHPMailerでGmailのSMTPサーバを経由してメールを送信する方法
【2024年版】PHPMailerでGmailのSMTPサーバを経由してメールを送信する方法

だいぶ前に同じようなことをメモしたが、そちらの方法だと送信できずエラー内容を見た ...

file_get_contentsを使用する際にタイムアウト設定
file_get_contentsを使用する際にタイムアウト設定

20秒に1回自動でリロードするページにて file_get_contentsを使 ...

PHPでクエリ内容を取得する
PHPでクエリ内容を取得する

エラーログを確認している際によく分からない動作に なっているところがあった。 ペ ...

CodeIgniter3で共通の変数と定数を設定する方法
CodeIgniter3で共通の変数と定数を設定する方法

CodeIgniter3系で共通する配列が入った変数と、定数を設定したかった。以 ...