phpのセキュリティーについて

Question

phpを使ってテキストファイルの数値を増減したり、文字列や数値を追記するコードを書いたのですが、
これは不特定多数が操作可能なのですが、文字列や数値しか記述できないといえど、大々的に公開することは、危険なのでしょうか？

textformと
file_put_contents()
を使って、
テキストにどんどん、改行して書き込んでいけるプログラムです。
特に書き込み規制処置などは行っていません。

Comments

[y_waiwai]

何がどういうふうに危険だと思ってるんでしょうか。
説明不足すぎて意味不明です

[退会済みユーザー]

タグとか埋め込まれてデータ破壊されたりハッキングされたりします？

[y_waiwai]

具体的なコードを提示しましょう。
タグとは何でしょう、データとは何を指してますか？
そして、PHPじゃなければこれらは起こらないもんなんでしょうか。

[m.ts10806]

「大々的に公開」というのが謎
そんなに世間に宣伝できるほどのサービスができたのでしょうか。

[m.ts10806]

あぁこの人も人の話を聞かない人か。
回答者はあなたの友人や同僚や職場の先輩ではなく赤の他人なので、
全て書かないと何も伝わりません。
自分で「なんの状況も知らない第三者になったつもりで」自分の文章読んでみるといいですよ。
知識や技術があっても、赤の他人がやりたいことまで把握することは無理です。

[hentaiman]

作ったプログラムとアクセスする人次第ですが、不特定多数を対象とする以上は質問者が制御できるのはプログラムのみです
まずは作ったプログラムを載せましょう　その内容によって危険か危険でないかが変わります

[kaina]

多分、terataillerさんの別アカウントでしょ。
あっちのアカウントでマイナス評価付きすぎて殆ど回答貰えなくなったので
切り替えたと思われ。
マルチアカウントは規約違反ですよ。

[退会済みユーザー]

terataillerさんとは...？

[m.ts10806]

まず、指摘されたことを上からきちんと理解してください。

Answer 1

どこまで響くか伝わるかわかりませんが、思うことを書いてみます。

質問者さんが感じる心配事は初学者にありがちなもので、
どういう理屈でwebが動いているのかがわからないために、
自分自身で判断できずに勝手に恐れているような感じでしょうか。

さらに突っ込んで言うと、
phpだけの学習だけでそのような疑問の答えを考えるのは非常に危険で、
webサーバーソフトウェアや、webアプリケーションファイアウォールや、
webサーバーのOSに備わるセキュリティごとなんかも関わってくる複合的なものです。
そのため、この場で質問者さんが納得する答えをシンプルにまとめるのは大変難しいです。

ちょっと例を考えると、
サーバーを共用レンタルサーバーにするのか、VPSや専用サーバーで自前で構築するのかによっても視点が変わって、ぬるいサーバー設定のためにデータファイルをごっそり抜かれてしまう事例もあります。

インターネット上に公開されているソースコードを元に作ると
元のファイル構造から類推して、この辺にファイルがありそうってあたりを付けてアクセスしたらやっぱりデータファイルがあって抜かれてしまう事例もあります。

それはディレクトリ構成や他の仕組みを組み合わせて直接データファイルにアクセスできないよう対策すれば済む話なので、そんなに大事ではないけど、知らなきゃ大変だよねとか。

まぁ何が言いたいかというと、
少しは脆弱性対策方面にアンテナを張って体系立てた学習をしていただきたく。

安全なウェブサイトの作り方：IPA 独立行政法人 情報処理推進機構

ここからはじめませんか。

Answer 2

サーバー内にあるファイルの書き込みに関して外部の人が書き込んだデータを書き込むのが本当に安全かというのは、中身によると思います。
例えば、ユーザーの投稿によってHTMLファイルを作成し公開する場合、投稿されたデータに不正なタグなどが埋め込まれていないかチェックする必要があります。
とにもかくにも、詳細がわからないとコメントができません。