Um Schwachstellen von PHP -Dateien hochzuladen, müssen Sie zun?chst den hochgeladenen Inhalt strikt steuern. 1. überprüfen Sie die Dateitypen immer auf der Serverseite, verwenden Sie Finfo_File () oder mime_content_type (), um den realen MIME -Typ zu überprüfen und einen Whitelisting -Mechanismus festzulegen. 2. Vertrauen Sie den Benutzereingaben nicht und weigern Sie sich, sich ausschlie?lich auf die Front-End-überprüfung zu verlassen. 3. Benennen Sie die Datei nach dem Hochladen um und verwenden Sie zuf?llig generierte Dateinamen, um Ausführungsrisiken zu vermeiden. 4. Legen Sie die korrekten Verzeichnisberechtigungen fest und verbieten Sie die Skriptausführung, z. B. die Beschr?nkung des Dateinaufzugszugriffs über .htaccess; 5. Versuchen Sie, Dateien in nicht ?ffentlichen Verzeichnissen zu speichern und Zugriffsdienste über Skripte anzubieten. 6. scannen regelm??ig hochgeladene Inhalte, streifen Sie Bild -EXIF -Daten ab oder verwenden Sie Imagemagick, um Bilder wieder aufzunehmen, um potenziellen b?swilligen Code zu l?schen.

Der beste Weg, um Schwachstellen in PHP zu verhindern, besteht darin, das zu steuern, was hochgeladen wird. Nicht nur, dass Benutzer gut spielen. Viele Sicherheitsprobleme beginnen, wenn Sie Personen direkt an Ihren Server senden lassen, ohne den Typ, den Inhalt oder die Umgang mit dem Handel zu überprüfen.

überprüfen Sie immer Dateitypen auf der Serverseite

Client-Seite-überprüfungen wie JavaScript k?nnen leicht umgangen werden. Verlassen Sie sich daher niemals allein auf sie. überprüfen Sie auf der Serverseite nicht nur die Dateierweiterung - Angreifer k?nnen b?swillige Dateien umbenennen, um wie Bilder oder PDFs auszusehen. überprüfen Sie stattdessen den tats?chlichen Dateimime -Typ mit finfo_file() oder ?hnlichen Funktionen.

Selbst das ist jedoch nicht perfekt - einige b?sartige Dateien k?nnen ihren MIME -Typ f?lschen. Also noch besser: Erstellen Sie einen Whitelisten erlaubter Erweiterungen und MIME -Typen und lehnen Sie alles ab, was nicht genau übereinstimmt.

Einige Dinge zu tun:

• Verwenden Sie mime_content_type() oder finfo_open() um den realen Dateityp zu überprüfen
• Vergleichen Sie mit einer Liste der zul?ssigen Typen (z. B. k?nnen Sie 'image/jpeg' , 'image/png' nur erlauben).
• Vertrauen Sie den Benutzereingaben nicht-überprüfen Sie immer alles serverseitig

Umbenennen Sie hochgeladene Dateien um

Wenn Benutzer ihre ursprünglichen Dateinamen behalten k?nnen, ?ffnet sich die Tür, um vorhandene Dateien zu überschreiben oder sogar ausführbare Skripte mit Namen wie shell.php hochzuladen. Um dies zu vermeiden, benennen Sie Dateien immer in etwas Zufalls um, das von Ihrem System generiert oder generiert wird.

Verwenden Sie beispielsweise eine Funktion, um einen eindeutigen Namen wie md5(uniqid()) . '.jpg' - Auf diese Weise gibt es keine Vermutung für einen Angreifer, der versucht, hochgeladene Dateien direkt zugreifen zu k?nnen.

Stellen Sie au?erdem sicher, dass Sie Uploads au?erhalb von Web-zug?nglichen Verzeichnissen nach M?glichkeit speichern oder zumindest die Ausführung in diesem Ordner über .htaccess oder Server-Konfiguration einschr?nken.

Legen Sie die ordnungsgem??en Verzeichnisberechtigungen fest

Wo Sie hochgeladene Dateien speichern, ist sehr wichtig. Das Upload -Verzeichnis sollte keine Skriptausführung zulassen. In Apache k?nnen Sie die Ausführung mit .htaccess blockieren:

 <Filesmatch "\. (Php | pl | py | jsp | Asp | sh | cgi) $">
    Bestellen leugnen, erlauben
    Von allen leugnen
</FileMatch>

Stellen Sie au?erdem sicher, dass der Upload -Ordner die richtigen Berechtigungen hat - normalerweise ist 755 sicher. Geben Sie niemals alle ( 777 ) die Erlaubnis, es sei denn, es ist absolut erforderlich, und noch einmal überdenken.

Noch ein paar Tipps:

• Speichern Sie Uploads in einem nicht ?ffentlichen Verzeichnis und servieren Sie sie über ein Skript
• Vermeiden Sie es, Benutzer direkt auf die hochgeladenen Dateien zugreifen zu lassen
• Scannen Sie regelm??ig hochgeladene Inhalte, wenn Sie sich mit sensiblen Umgebungen befassen

Scannen Sie nach b?swilligen Inhalten

Es ist leicht zu vergessen, aber selbst eine gültige Bilddatei kann eingebettete Malware enthalten. Einige Angreifer verbergen Code in Bildmetadaten oder nicht verwendeten Abschnitten der Datei. W?hrend PHP selbst diese nicht standardm??ig ausführt, k?nnen andere Tools oder Bibliotheken m?glicherweise.

Verwenden Sie das Antiviren -Scannen, wenn Sie kritische Systeme bearbeiten, oder führen Sie grundlegende überprüfungen wie Striping EXIF ??-Daten aus Bildern mit Funktionen wie exif_read_data() aus und Speichern einer sauberen Version.

Sie k?nnen auch Tools wie Imagemagick verwenden, um Bilder neu zu bearbeiten-dies beseitigt h?ufig alle versteckten Nutzlasten.

Das ist es im Grunde genommen. Es ist keine Raketenwissenschaft, aber es erfordert Liebe zum Detail. Die meisten Probleme mit dem Datei-Upload stammen aus der Einnahme von Verknüpfungen oder dem Vertrauen der falschen Ebene (wie der Front-End-Validierung). Machen Sie die Grundlagen richtig, und Sie werden die meisten Angriffsvektoren schlie?en.

Das obige ist der detaillierte Inhalt vonWie verhindern Sie, dass Dateiladen Schwachstellen in PHP hochladen?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!