PHPアップロードファイルのセキュリティについて教えてください。

Question

PHPアップロードファイルのセキュリティについて教えてください。

自分がアップロード許可を設定した拡張子でウィルスをアップロードしないようにするにはどうしたらいいですか？
pdfアップローダーを用意したら、pdfと見せかけたプログラムがいっぱい上がってきてしまって困っています。

どうしたらいいのでしょうか？
分かる方いませんか？

Answer 1

ファイルアップロードは、確かにセキュリティ上の問題が多くあります。まず、欲しいファイルでないかもしれないことです。変数 $_FILES['file_name']['type']はアップロード側に管理されているので、まったく信用できません。この値はしばしば改ざんされてしまっています。

1)最初のステップは、拡張子.pdf がちゃんと使われているかを確認することです。
if ('pdf' != end(explode('.', $filename))){
die("Invalid File Type");
}
2)次にチェックすべきなのは、ファイルタイプが何かということです。
http://php.net/manual/ja/function.filetype.php

問題は、PDFファイルはAdobeのソフトウェアなどで容易に変更ができてしまうことです。これらは ドライブバイダウンロード攻撃でウイルスを撒き散らそうとするファイルを簡単に作れてしまいます。

一番良い解決法は、Mod_Securityをダウンロードすることです。これはアプリケーションレベルで作動するファイアーウォールのようなもので、SQLやXSSによる問題を解決できます。

お力になれればよいと思います。