アップロード時に画像ファイルの名前を変更するセキュリティ的な理由が知りたい

Question

$new_img = md5(uniqid(mt_rand(), true)).'.'.$extension;
move_uploaded_file($img['tmp_name'], './img/'.$new_img);

例えば上のように画像名を乱数にしてサーバ上の公開ディレクトリに移動したとします。
移動した画像ファイルをブラウザで表示すると、ディベロッパーツールなどで乱数化されたファイル名を確認することができますし、公開されてしまうのだから元のファイル名のままでいいのでは？と思ってしまいます。

おそらくセキュリティ的な面で利点があって、画像名を変更するのだと思いますが、どういった攻撃に対して有効なのかが分かりません。

もし、画像名の変更理由が分かる方がおりましたらぜひともご教授ください。

Answer 1

セキュリティ的な理由以外にも意図はあります。

• 同じ名前でアップロードされて上書きされる事への配慮
• ヘッダ偽装によるファイル名 ../../../etc/foo.jpg といった物を回避するため
• いたずらに長いファイル名をアップロードされる問題の回避
• img フォルダ内でファイル名を正規化
• 画像ファイル名をテーブルの ID として扱えるメリット

他にもあると思います。

Answer 2

ファイル名の衝突を避けるため、というのが主な理由だと思いますが、二重拡張子を避けられるというセキュリティ上の効果もあります。詳しくは下記の記事をお読みください。

Apacheの多重拡張子にご用心

概要を説明すると、攻撃者は foo.php.png というファイ名でファイルをアップロードします。この画像の中身にPHPのスクリプトを入れておくと、Apacheの設定によっては、foo.php.pngにアクセスすることで、これがPHPとして実行されてしまうというものです。

また、ディレクトリトラバーサル対策のため、という理由もありえますが、こちらは別の方法でも対処できるため、私としては重大な理由ではないと思います。ファイル名のつけかえをすれば、ディレクトリトラバーサル対策にもなるので楽ちんだね、というくらいですね。

Answer 3

ファイル名というのはあくまで自己申告であるということです。
hogehoge.jpg
というファイル名でアップロードされたものが、画像である保障はありません。
またファイル名を変更することで、外部からの推測を出来なくすることが出来ます。
そうすることでアップロードされた画像を外部から実行するといった古典的な手法を防いだりします。

例えばhogehoge.jpgは実はhogehoge.exeというファイルをリネームしただけのもので、外部から直接アクセスするとサーバ内でhogehoge.exeが実行されてサーバーに被害を及ぼす

などが考えられます。
またファイル名にプログラムの命令文を入れたりすることで、実行させようとしたりファイル名にSQL文を混ぜてデータベースにアクセスしようとしたりといったことが考えられます。
またアップロードしたファイルのファイル名が特定の個人を誹謗中傷する内容のファイル名の場合、ソースにはそれが表示され検索クローラーなどがインデックスする可能性も考えられます。

ソースを見れば外部の人間でもわかりますが、そのファイルに含まれる情報というのは悪意を持って上げられるものであることを前提に考えれば、ファイル名をリネームすることの利点がこのほかにもたくさんあると思います。

Comments

[spring_learner]

なるほど！ファイル名自体に命令文ですか。
exif_imagetypeを使ってファイルの判定をしているのに何故？と思っていたのですが
他にもいろいろと攻撃手法があるようですね。

非常に参考になりました。
ご回答ありがとうございました！

Answer 4

こんにちは。

主に2つの理由が考えられます。

まず一つ目は、キャッシュの対策です。
通信を高速化する目的で、サーバー、クライアント内にデータをキャッシュしています。
よく、ブラウザ等で画像をキャッシュしておいて、URLが同じ場合、キャッシュの画像を使うなんてのがあります。
そうすると、サーバーで画像を更新したのに、URL(ファイル名)が同じである為、ブラウザ側にキャッシュされている更新前の画像が表示されてしまいます。

もう一つは、ウェブスクレイピング対策です。
例えば、ソーシャルゲームでレアな画像があり、ガチャで当てた人しか見せたくない場合、
規則性のあるファイル名（日付など）だと予測されて画像を取得されます。
なので、不規則な文字列のファイル名にするということがよくあります。

Answer 5

日本語ファイル名など環境依存でweb技術に適さないモノを
排除することも大きいでしょう

Answer 6

例えばディレクトリトラバーサル
を避けるためという理由があります。