PHPを利用したファイルアップロードの安全管理に関して

Question

ユーザーからのファイルアップロードについてなのですが、安全上どのような問題があり、その問題はどのように防止できるでしょうか？

例えば、ユーザがシステムやNETを通して私のサーバに画像をアップロードできるとします。アップロードする際はサイズをチェックし、
/tmpフォルダに格納します。
これに関して、リスクを最小限にとどめるにはどうしたらよいでしょうか？

もしくは、wgetでユーザが画像などをダウンロードして、私のサーバで保存し画像かどうかをチェックします。
そこでもし、URLが悪質なもので、マルチウェアたっぷりのウェブサイトをダウンロードすることになったらどうしたらいいでしょう？

Answer 1

exif_imagetype関数でファイルの中身をチェックしましょう。
ファイルを数バイト読み込んで画像特有のフォーマットかを判別してくれるのでそれなりの精度があります。
ファイル名をそのまま使わないのはもちろんですが、
ドットが並んでるような明らかに攻撃してるファイル名を弾いてしまってもいいと思います。(もちろんバイナリセーフ関数でチェック)
ファイル名とかファイルタイプに対してホワイトリストでチェックして、
細かくふるいにかけましょう。

もしcronとかでファイルに何かしらの操作が必要な場合、
間違ってもrootでなくwebサーバのユーザかそれなりに制限されてるユーザを設定しましょう。

Answer 2

ファイルがアップロードできるということは、ユーザはさまざまな形式のデータをアップロードし、データをコントロールできるということですね。
普通のテキスト入力でも考慮すべきことですが、ファイルのアップロードとなると、さらに気をつけるべき点ですね。

まず第一に、全て信用するなということです。

・ファイルデータ
・ファイル名
・MIMEタイプ

の3つがファイルの大きな要素ですが、どれも信用できません。

１．$_FILES['file']['type']のMIMEタイプは信用してはいけません。ユーザ任意です。

２．ファイル名をそのまま使ってはいけません。これもユーザ任意の値です。
ファイル拡張子もファイル名もそもそも信用してはいけません。
また、サーバのハードディスクに'dir/' . $_FILES['file']['name']のようにファイルを保存してはいけません。
もし、'../../../passwd'だった場合、別のディレクトリのファイルを上書きするとこになります。
常にランダムな名前を生成し、それで保存しましょう。メタデータとしてオリジナルのファイル名を格納することもできます。

３．ファイルへ任意にアクセスされないようにしましょう。
例えば、攻撃者がmalicious.phpファイルをサーバにアップロードしあなたのwebrootディレクトリに格納したとしましょう。
攻撃者は簡単にexample.com/uploads/malicious.phpにアクセスしてファイルを起動し、
任意のPHPコードをサーバで実行できてしまいます。

・任意にアップロードされたファイルをパブリックに格納しないこと。あなただけがアクセスできるところに格納しましょう。

・ファイルへのアクセスは制限すること。
もし画像ファイルでしたら、ファイルディレクトリへのアクセスは画像を読み込んでサイズ変更するスクリプトだけ許可しましょう。
もし、そのスクリプトがファイルを読み込めないのであれば、画像ファイルではないということです。フラグを立てて、削除しましょう。
他のタイプのファイルでも同様です。
他のユーザによってダウンロードできるようにするのならば、ダウンロードしかできないようなスクリプトにしましょう。

・どのファイルタイプになるかわからない場合は、ファイルのMIMEタイプを調べてファイルを開く特定のプロセスを用いましょう。
もしそのプロセスが脆弱だと、悪質なファイルによってセキュリティ違反につながります。