Lista kontrolna bezpieczeństwa PHP: 8 kroków do wykrycia i usunięcia luk w zabezpieczeniach

Przesyłanie plików staje się zagrożeniem dla bezpieczeństwa, gdy osoby atakujące mogą przesyłać pliki wykonywalne lub uzyskać dostęp do danych, do których nie powinny mieć wglądu. Sprawdź, jakie typy i rozmiary plików akceptuje Twoja aplikacja, gdzie są przechowywane przesłane pliki oraz kto może je pobrać. Przetestuj trasy przesyłania i pobierania pod kątem ataków typu 'path traversal', upewnij się, że przesłane pliki nie mogą być uruchamiane jako PHP, oraz sprawdź, czy pliki .env, .git oraz pliki kopii zapasowych nie są publicznie dostępne.

Poniżej znajduje się przykład w języku PHP sprawdzający typ MIME przesłanego pliku i zapisujący go pod losowo wygenerowaną nazwą:

if (($_FILES['file']['error'] ?? null) !== UPLOAD_ERR_OK) {
    throw new RuntimeException('Przesyłanie nie powiodło się');
}

$tmp = $_FILES['file']['tmp_name'];
$allowed = ['image/jpeg' => 'jpg', 'image/png' => 'png'];
$mime = (new finfo(FILEINFO_MIME_TYPE))->file($tmp);

if (!isset($allowed[$mime])) {
    throw new RuntimeException('Nieobsługiwany typ pliku');
}

$name = bin2hex(random_bytes(16)) . '.' . $allowed[$mime];
$target = '/var/app/private-uploads/' . $name;

if (!move_uploaded_file($tmp, $target)) {
    throw new RuntimeException('Nie można zapisać przesłanego pliku');
}

Przykład zakłada przesłanie pojedynczego pliku oraz istnienie prywatnego katalogu z odpowiednimi uprawnieniami. Funkcja move_uploaded_file() w PHP potwierdza, że plik źródłowy został przesłany za pomocą mechanizmu HTTP POST w PHP.

Sama weryfikacja typu MIME nie wystarcza, aby zapewnić bezpieczeństwo przesyłanych plików. Kod produkcyjny wymaga również narzuconych przez serwer limitów rozmiaru plików, uprawnień do przesyłania i pobierania oraz weryfikacji rzeczywistej zawartości plików. W stosownych przypadkach należy ponownie zakodować obrazy i rozważyć skanowanie w poszukiwaniu złośliwego oprogramowania w przypadku plików o podwyższonym ryzyku. W miarę możliwości przechowuj pliki poza katalogiem głównym serwisu, ogranicz dostęp do systemu plików i zapobiegaj uruchamianiu przesłanych plików jako PHP.