PHPのディレクトリ・トラバーサル対策について

Question

PHPのディレクトリ・トラバーサル対策について勉強しています。

C:\xampp\htdocs\test\index.phpにこのディレクトリと同じ階層のC:\xampp\htdocs\test\db.phpを読み込む場合、そのまま外部ファイルを読み込むとrequire("db.php");だと思うのですが、下記のようにディレクトリ・トラバーサル対策して外部ファイルを読み込む方法がどのような形になるのかがいまいちよくわかりませんでした。

教えて頂けると助かります。
引用：https://www.websec-room.com/2013/03/21/694

　$DIRECTRY_PATH = "/var/files/";

  //ファイル名取得
  $fileName = basename("../../../etc/passwd");

  //パス結合($pathの中身　/var/files/passwd）
  $path = $DIRECTRY_PATH . $fileName;

Comments

[m.ts10806]

URLはマークダウンのリンク機能でリンクにしてください

Answer 1

そのまま外部ファイルを読み込むとrequire("db.php");だと思うのですが

そのままでいいのではないでしょうか。固定的な文字列でコーディングしてある以上、ここからディレクトリトラバーサルが発生することはありません。

Comments

[maisumakun]

ふつう、requireは固定的に書くか、Composerにつなぐかをする程度で、動的に変える対象とすることもあまりないかと思います。

Answer 2

$DIRECTRY_PATH = "C:\xampp\htdocs\test\";

//ファイル名取得
$fileName = basename("../../../etc/db.php");
$path = $DIRECTRY_PATH . $fileName;

ベストプラクティスの回答ではなく、求めているであろう答えを推測しました。
今Windows触れないのでこの表記で行けるかは見てません。

ディレクトリトラバーサルに限らないのですが、安全性は分かってる人に体系立てて聞いたほうがいいです。コードの勉強中にやるものではないですし、自分で全部実装することもないです。 多分ファイルを読み込むからこう考えたんだと思いますが、プロダクトのコードを書くときはそこはフレームワークのお作法でやればいいので。
プログラマとして安全性を知っておきたいなら、これが何を目的になされるかから考えてください。db.phpという一般に知られてないファイルはこの攻撃の対象になりません。

Comments

[m.ts10806]

>ディレクトリトラバーサルに限らないのですが、安全性は分かってる人に体系立てて聞いたほうがいいです。

それか、やはり徳丸本ですね

Answer 3

参考記事にリンクがあります「ディレクトリ・トラバーサルと対策」に「そもそもディレクトリトラバーサルとは」が書いてあります。

リクエストのパスに不正な内容を指定することで、本来アクセス権のないファイルを閲覧、改ざん、削除されてしまう脆弱性のこと

外部からのリクエストを処理していない提示のコードにはディレクトリトラバーサルは発生していません。
外部からのリクエストとは、例えばファイルアップロードなどフォーム入力を受け取ることを指します。

Wikipediaにも詳しくパターンがあるのでおさえておいてください。
この手のものはIPAなどの機構が出している記事を読まれた方が良いです。

安全なウェブサイトの作り方はセキュリティ対策を盛り込む際には必須です。こちらが出しているチェックリストを利用している現場や顧客も少なくないですので。