PHP安全配置 上传文件（转）

5、文件上传 

php的文件上传机制是把用户上传的文件保存在php.ini的upload_tmp_dir定义的临时目录（默认是系统的临时目录，如：/tmp）里的一个类似phpxXuoXG的随机临时文件，程序执行结束，该临时文件也被删除。PHP给上传的文件定义了四个变量：（如form变量名是file，而且register_globals打开） 

$file #就是保存到服务器端的临时文件（如/tmp/phpxXuoXG ） 

$file_size #上传文件的大小 

$file_name #上传文件的原始名称 

$file_type #上传文件的类型 

推荐使用： 

$HTTP_POST_FILES['file']['tmp_name'] 

$HTTP_POST_FILES['file']['size'] 

$HTTP_POST_FILES['file']['name'] 

$HTTP_POST_FILES['file']['type'] 

这是一个最简单的文件上传代码： 

//test_5.php 

if(isset($upload) && $file != "none") { 

copy($file, "/usr/local/apache/htdocs/upload/".$file_name); 

echo "文件".$file_name."上传成功！点击继续上传"; 

exit; 

} 

?> 

content="text/html; charset=gb2312"> 

上传文件: 

 

 

这样的上传代码存在读取任意文件和执行命令的重大问题。 

下面的请求可以把/etc/passwd文档拷贝到web目录/usr/local/apache/htdocs/test（注意：这个目录必须nobody可写）下的attack.txt文件里： 

http://victim/test_5.php?upload=1&file=/etc/passwd&file_name=attack.txt 

然后可以用如下请求读取口令文件： 

http://victim/test/attack.txt 

攻击者可以把php文件拷贝成其它扩展名，泄漏脚本源代码。 

攻击者可以自定义form里file_name变量的值，上传覆盖任意有写权限的文件。 

攻击者还可以上传PHP脚本执行主机的命令。 

解决方法： 

PHP-4.0.3以后提供了is_uploaded_file和move_uploaded_file函数，可以检查操作的文件是否是用户上传的文件，从而避免把系统文件拷贝到web目录。 

使用$HTTP_POST_FILES数组来读取用户上传的文件变量。 

严格检查上传变量。比如不允许是php脚本文件。 

把PHP脚本操作限制在web目录可以避免程序员使用copy函数把系统文件拷贝到web目录。move_uploaded_file不受open_basedir的限制，所以不必修改php.ini里upload_tmp_dir的值。 

把PHP脚本用phpencode进行加密，避免由于copy操作泄漏源码。 

严格配置文件和目录的权限，只允许上传的目录能够让nobody用户可写。 

对于上传目录去掉PHP解释功能，可以通过修改httpd.conf实现： 

php_flag engine off 

#如果是php3换成php3_engine off 

重启apache，upload目录的php文件就不能被apache解释了，即使上传了php文件也没有问题，只能直接显示源码。 

6、命令执行 

下面的代码片断是从PHPNetToolpack摘出，详细的描述见： 

http://www.securityfocus.com/bid/4303 

//test_6.php 

system("traceroute $a_query",$ret_strs); 

?> 

由于程序没有过滤$a_query变量，所以攻击者可以用分号来追加执行命令。 

攻击者输入如下请求可以执行cat /etc/passwd命令： 

http://victim/test_6.php?a_query=www.example.com;cat /etc/passwd 

PHP的命令执行函数还有system(), passthru(), popen()和``等。命令执行函数非常危险，慎用。如果要使用一定要严格检查用户输入。 

解决方法： 

要求程序员使用escapeshellcmd()函数过滤用户输入的shell命令。 

启用safe_mode可以杜绝很多执行命令的问题，不过要注意PHP的版本一定要是最新的，小于PHP-4.2.2的都可能绕过safe_mode的限制去执行命令。 

7、sql_inject 

如下的SQL语句如果未对变量进行处理就会存在问题： 

select * from login where user='$user' and pass='$pass' 

攻击者可以用户名和口令都输入1' or 1='1绕过验证。 

不过幸亏PHP有一个默认的选项magic_quotes_gpc = On，该选项使得从GET, POST, COOKIE来的变量自动加了addslashes()操作。上面SQL语句变成了： 

select * from login where user='1\' or 

1=\'1' and pass='1\' or 1=\'1' 

从而避免了此类sql_inject攻击。 

对于数字类型的字段，很多程序员会这样写： 

select * from test where id=$id 

由于变量没有用单引号扩起来，就会造成sql_inject攻击。幸亏MySQL功能简单，没有sqlserver等数据库有执行命令的SQL语句，而且PHP的mysql_query()函数也只允许执行一条SQL语句，所以用分号隔开多条SQL语句的攻击也不能奏效。但是攻击者起码还可以让查询语句出错，泄漏系统的一些信息，或者一些意想不到的情况。 

解决方法： 

要求程序员对所有用户提交的要放到SQL语句的变量进行过滤。 

即使是数字类型的字段，变量也要用单引号扩起来，MySQL自己会把字串处理成数字。 

在MySQL里不要给PHP程序高级别权限的用户，只允许对自己的库进行操作，这也避免了程序出现问题被 SELECT INTO OUTFILE ... 这种攻击。 

8、警告及错误信息 

PHP默认显示所有的警告及错误信息： 

error_reporting = E_ALL & ~E_NOTICE 

display_errors = On 

在平时开发调试时这非常有用，可以根据警告信息马上找到程序错误所在。 

正式应用时，警告及错误信息让用户不知所措，而且给攻击者泄漏了脚本所在的物理路径，为攻击者的进一步攻击提供了有利的信息。而且由于自己没有访问到错误的地方，反而不能及时修改程序的错误。所以把PHP的所有警告及错误信息记录到一个日志文件是非常明智的，即不给攻击者泄漏物理路径，又能让自己知道程序错误所在。 

修改php.ini中关于Error handling and logging部分内容： 

error_reporting = E_ALL 

display_errors = Off 

log_errors = On 

error_log = /usr/local/apache/logs/php_error.log 

然后重启apache，注意文件/usr/local/apache/logs/php_error.log必需可以让nobody用户可写。

本文来源：http://linux.sheup.com/linux/linux4945.htm