我希望能够让我的小程序更加安全，这样潜在的恶意用户就无法查看服务器上的敏感文件。
$path = "/home/gsmcms/public_html/central/app/webroot/{$_GET['file']}";
if(file_exists($path)) {
echo file_get_contents($path);
} else {
header('HTTP/1.1 404 Not Found');
}
从我的经验来看，我知道像 '../../../../../../etc/passwd' 这样的输入会带来麻烦，但是我想知道还有哪些恶意输入需要考虑以及如何防止它们。
realpath() 将允许您将可能包含相对信息的任何路径转换为绝对路径...然后，您可以确保该路径位于您希望允许下载的特定子目录下。
作者的解决方案：
$baseDir = "/home/gsmcms/public_html/central/app/webroot/";
$path = realpath($baseDir . $_GET['file']);
// if baseDir isn't at the front 0==strpos, most likely hacking attempt
if(strpos($path, $baseDir) !== 0) {
die('Invalid Path');
} elseif(file_exists($path)) {
echo file_get_contents($path);
} else {
header('HTTP/1.1 404 Not Found');
echo "The requested file could not be found";
}
strpos($path, $baseDir) === false，那么 strpos($path, $baseDir) !== 0，因为我期望在 PHP 中 false !== 0。所以似乎第五行测试的第二部分是不必要的。 - PypeBrosrealpath()会返回false，因此elseif(file_exists($path)是多余的。 - Haskell McRavinfile设置为../webroot/some-valid-file进行请求，则会泄漏文件位于webroot目录中。我可以继续猜测树的上下方向，直到找到/home。此时，我有一种方法可以找到机器上的用户名。 - monkeysplayingpingpong这里存在一个额外且重要的安全风险。该脚本将文件源代码注入输出流，没有任何服务器端处理。这意味着您所有可访问文件的源代码都将泄露到互联网上。
$path = "/app/webroot/{$_GET['file']}";
$realTarget = realpath($path);
if( strtolower($path) !== strtolower($realTarget) ) {
// invalid path!
}
// life goes on
我认为这是关于PHP7的最佳答案。
这将只允许人们查看他们拥有绝对路径的文件。
它不会让人们通过使所有失败条件报告相同来钓取指定路径之外的有效文件名。
$base_dir = $temp_path;
$path = "";
if(isset($_GET['filename'])) {
$path = realpath($base_dir.$_GET['filename']);
//realpath returns false if the file doesnt exist
if(!$path ||
//dont look outside temp path
substr($path, 0, strlen($base_dir)) != $base_dir){
header('HTTP/1.1 404 Not Found');
echo "The requested file could not be found";
die;
}
}
去掉所有的/. /..或\.\.并转换为所有正斜杠，因为不同的环境将接受正斜杠。这应该为路径输入提供相当安全的过滤器。在您的代码中，您应该将其与您不想要访问的父目录进行比较，以防万一。
$path = realpath(implode('/', array_map(function($value) {return trim($value, '.');}, explode('/', str_replace('\\', '/', $path)))));