ユーザーのアップロードファイルに対するセキュリティー対策が知りたい(PHP)

Question

アップロードファイルに対するセキュリティー対策について相談させて下さい。

画像アップロード機能を持たせたWebアプリケーションを作ろうとしていますが、最近、画像ファイルにPHPコードを埋め込んで実行させるexploitの存在を知りました。
悪意のあるユーザーのインジェクション攻撃が無いとは言えないので、対策を立てたいのですが、何をどうすれば良いのか分かりません。

各ユーザーがアップロードしたファイルが安全かチェックする方法を教えて下さい。よろしくお願いします。

Answer 1

代表的な攻撃方法を知れば、幾つか対策が立てられるかと思います。

【拡張子がphpのファイルをアップロードしてくる攻撃】
Webサーバーから直接画像へのアクセスが可能な場合は、直接コードが実行されてしまいます。

対策方法としては、まず、PHPファイルのアップロードを禁止しておきましょう。
また、特定のディレクトリ上で.phpへのアクセスを禁止させます。
(apache側でアクセス制限の設定を行う）

【アップロードファイルの中にPHPコードを埋め込む攻撃】
PHPコードが埋め込まれているかを確認する方法はありますが、正確に判断するのは難しいです。

アップロードされたファイルの中身をfile_get_contents()で取り出した後、以下の処理をかけてやれば、phpタグがあるかどうかチェックする事が出来ます。
＊誤認識される可能性もあります。

mb_regex_encoding('ASCII');
if (mb_eregi('<\\?php', $data)) {
//タグ <?phpを検出しました。
}

また、これはショートタグ<? ?>には対応していません。