安全的PHP文件上传脚本

Question

我想我已经问了这个问题两次，但这是我第一次接近答案。我计划允许用户上传和下载他们的文件（.pdf，.doc，.exl，.ppt，.png，.jpg，.gif）。

以下提示是否足够：

http://blogs.sans.org/appsecstreetfighter/2009/12/28/8-basic-rules-to-implement-secure-file-uploads/

另外，有没有我可以使用的脚本？我是php新手。

- AAA

---

什么脚本？我只看到一些适当处理的规则。 - Marc B

这些提示对我来说看起来不错，有些取决于您的特定要求/设置。 - user557846

Answer 1

虽然回复有些晚，但我认为你的脚本应该基于这篇文章： http://blog.insicdesigns.com/2009/01/secure-file-upload-in-php-web-applications/

它涵盖了安全的方方面面，并解释了所有有效的要点。希望能对你有所帮助。

编辑：上述链接已失效，这里是该文章的缓存版本。

- Ricki

---

这是一个很棒的指南。 - CrandellWS

上面的缓存链接引用没有源代码文件的缓存副本可供下载，该文件在上述缓存文章中讨论。 - Drew

这个文件上传安全指南存在几个问题。首先是使用黑名单的整个概念。黑名单是一个失败的方案。你应该将允许的扩展名列入白名单，检查上传的文件扩展名是否与你将要保存的文件名相匹配，如果扩展名不在白名单中，则禁止访问。黑名单会在发现新漏洞时使你处于开放状态。白名单是未来的保障。 - Neil Davis

Answer 2

针对那些同时又是php新手的未来读者：

在阅读Ricki回答中提到的指南https://dev59.com/UFTTa4cB1Zd3GeqPqC4T#7065880之前，该指南提供了很好的指导并且绝对值得一读，但我建议先阅读这个答案：

https://security.stackexchange.com/a/32853/31943

然后阅读Ricki提到的指南：

http://blog.insicdesigns.com/2009/01/secure-file-upload-in-php-web-applications/

如果您需要更高的安全性，可以考虑断开与互联网的连接。:P

- CrandellWS

Answer 3

现在有很多文件上传脚本。 这个 并不比其他脚本差。

虽然防止上传非png文件的“保护”不起作用（它只检查文件名）。

上传文件是相当安全的 - 给别人下载它们的机会会让你的服务器面临某些类型的攻击。您引用的文章没有提到两个重要点：

• 从与您的网页相同的域中绝不提供任何用户提供的文件。为下载设置单独的域。这样，即使有人设法上传Flash动画或一小段HTML，您的域也不会受到跨域攻击的影响（例如，如果您的应用程序具有example.org域，则应从downloads.example.com等域提供用户内容）;
• 始终使用受控制的标头服务上传的文件。

- fdreger

---

上传的危险在于程序员将上传的文件存储在文档树中，既不检查后缀名（*.php），也不检查内容。一旦这样做，恶意用户就能够在您的服务器上运行一个不受控制的脚本。哎呀。文件上传者应该始终检查文件名和内容，以确保文件与程序员预期的完全一致。 - JBH

你的回答并没有解释这个陈述：“上传文件是相当安全的 - 给别人下载它们的机会才会让你的服务器面临某些类型的攻击。”我提供了一个例子。 - JBH

@JBH，您的建议不好-遵循它将无法获得任何安全保障。而且，您所描述的“问题”始于从与应用程序的其余部分相同的域中为用户提供文件服务，这违反了我提出的两个规则中的第一个（并且还有许多其他愚蠢的错误）。如果您真诚地遵循我上面给出的两个规则，那么您的应用程序就是安全的。就这么简单。真的。 - fdreger

也许不错，但可能不是你想谈论的。我并不真的对争论感兴趣，我只是想帮助人们理解问题。从另一个域提供文件可以保护第一个，但不能保护第二个。如果我冒犯了你，请原谅我。干杯。 - JBH