画像アップロードプラグイン「class.upload.php」は、ファイルの実行権限が選択できないのにセキュリティは平気なのでしょうか？

Question

PHPとAJAXで画像アップロード機能を実装しています。

JSでの画像選択は「Fine Uploader」を使い、PHPでデータベースに保存するには「class.upload.php」がよさそうだと思いました。

「Fine Uploader」（デモサイト）
https://fineuploader.com/demos.html

「class.upload.php」（使い方参考サイト）
http://webtech-walker.com/archive/2007/06/11210929.html

---

「class.upload.php」の方で質問です。

受け取ったファイルの安全性は、使い方参考サイトにある$handle = new Upload($_FILES['image_file']);でチェックされており安心できるかと思いますが、

しかし「ファイルの実行権限をなくす」という機能（chmod()を通す）はなくても大丈夫なのでしょうか？

調べてみますとオプションも以下しかなく「ファイルの実行権限をなくす」という機能がないように思えます。

$handle->file_overwrite     = true;  //ファイル上書き有効
$handle->file_auto_rename   = false; //ファイル名自動リネーム無効
$handle->file_src_name_body = $test; //ファイル名指定
$handle->image_resize       = true;  //ファイルリサイズ有効
$handle->image_ratio_y      = true;  //ファイル自動比率調整有効（縦）
$handle->image_x            = 50;    //ファイルサイズ指定（横）
$handle->image_convert      = 'gif'; //ファイルアップロードタイプ指定

なくても平気なのであれば、それはなぜなのか知りたいです。

ちなみに「ファイルの実行権限をなくす」という機能がなくても平気なのかという懸念は、こちらのページでその機能を使っているために生じた懸念です。

Answer 1

こんにちは。
ファイルの実行権限についてですが、基本的にはアップロードされたファイルを誰かが実行しない限りは不正なプログラムは動作しません。そのため不正なファイルを送りつけても実行されないと意味がないので、悪意のあるクラッカーはあの手この手を使ってユーザーにプログラムを実行させようとします。
ですので、実行権限がついていても実行しない限りは平気といえば平気です。

ファイルの実行権限の変更に関する機能はPHPに備わっていますので、そちらで対応することが可能です。ライブラリがサポートしていないのであれば、PHPで対応するとよいかと思います。
https://www.php.net/manual/ja/function.chmod.php

<?php
// 所有者に読み込み、書き込みの権限を与え、その他には読み込みだけ許可する。
chmod("/somedir/somefile", 0644);

Comments

[kikijiji]

こんにちは。初めてのアップロード処理でよくわかっておりませんので丁寧なご説明に嬉しく思います。仰るコードを追記したところ、パーミッションの属性値が無事644に変更されておりました。どうもありがとうございます。これさえしておけばファイルによって何かが実行される懸念はなく、残る懸念は画像のふりをしてJSが仕込まれていたなどだと思うので、出力時にhtmlspecialchars()を書ければ完璧ですね。…でしょうか？

[shohei_yamasaki]

JavaScriptが実行されることを抑制したいのであればhtmlspecialchars()が有効です。

<?php
htmlspecialchars("<script>alert('hello')</script>", ENT_QUOTES);
?>

次のように変換されます。
&lt;script&gt;alert(&#039;hello&#039;)&lt;/script&gt;

補足ですが、imgタグのsrc属性にJavaScriptを指定しても最近のブラウザでは実行されることはありません。ですので、画像のふりをしてJSが仕込まれていたとしてもimgタグであれば実行されることはないかと思います。
https://kaworu.jpn.org/kaworu/2007-11-15-2.php

[kikijiji]

みなさま何でもよくご存じですね…私としては知らないことばかりゆえ大変勉強になりました。どうもありがとうございます。

Answer 2

単純に作った人がそこまで考えていなかったか、
ファイルの配置されるディレクトリのデフォルトパーミッションを適切に設定する(ファイルは実行権限がない状態生まれる設定)でことを前提としたクラスである

のどちらかだと思います。
後者であれば、PHPでは特に何もしなくても特に問題発生しません。

Comments

[kikijiji]

ありがとうございます。ドキュメントルート外に置きさえすれば、それがどんなファイルであっても現時点で問題は確認されていないということですか？でしたら安心ですね。
ひとつよろしいでしょうか？質問文最後の「こちらのページ」にあるリンクではいろいろと検証をかけているようですが、ドキュメントルート外に置けば不要なものなのでしょうか？

[tanat]

ドキュメントルート外に設置することで結果として問題が起きない場合はありますが、設置場所とファイルパーミッションは別の軸の問題なのでそれぞれ対応される必要があります。

[kikijiji]

というかよく考えたら、ドキュメントルート外に画像をアップロードしたら、せっかくアップロードした画像が見えなくなってしまいますよね？（笑）
やはりドキュメントルート外に置くのではなく、パーミッションを設定するという対策をとるべきなのですね。

[tanat]

ドキュメントルート外に置いて、PHP経由で表示するのはアクセス制限をしたい時によくある方法です。
それぞれ目的が違う別の方法なので、独立させて考える必要があります。

[kikijiji]

なるほど！ドキュメントルート外というのは、URL入力で表示はできないけど、PHPからは取得できますもんね。やはりドキュメントルート外におくのも大事なセキュリティ対策ですね。パーミッションと合わせ技で設定しておきます。ありがとうございます。