Php scandir limit access

Question

Я делаю простой сценарий файлового менеджера для своего сайта.

Для того чтобы перечислить все файлы и категории в папке, я использую функцию scandir(). У меня есть переменная, содержащая основной путь, например $path = /var/www/mysite/uploads. Тогда у меня есть функция, которая принимает переменную GET, содержащую дополнительный путь, например /my/photos/, поэтому я возвращаю содержимое /var/www/mysite/uploads/my/photos.

Проблема в том, что если пользователь отправит ../../../, что-то в этом роде, он поднимет дерево каталогов и сможет наблюдать за всей системой.

Как это можно ограничить? Единственное, что я гугле WHAS о chroot, но не уверен, если это то, что мне нужно

Answer 1

Вы можете использовать realpath():

$storagePath = "/var/www/mysite/uploads"; 
$path = $storagePath . $userPath; 

$path = realpath($path); 
if(strpos($path, $storagePath) === 0){ 
    //Path is okay 
    echo "Okay"; 
} 
else { 
    //User wants to gain access into a forbidden area. 
    echo "Danger"; 
} 

Live demo

Объяснение: Путь, указанный пользователем, является связавшись с дорогой хранения. Затем realpath используется для преобразования этого пути в absolute path. Если абсолютный путь начинается с пути хранения, все в порядке, иначе нет.

Конечно, также полезно запустить путь, предоставленный пользователям, в первую очередь, с RegEx, чтобы вы могли убедиться, что путь содержит только действительные символы.

Answer 2

Вы всегда должны проверять входные данные пользователя! Сделайте регулярное выражение для проверки $ _GET ['path'].

Кроме того, ваш сервер должен запускаться пользователем с очень низкой привилегией в вашей файловой системе.

Answer 3

Первый вопрос, на который вы должны ответить, - это то, почему вы принимаете с пользовательских путей.

После этого, если это действительно необходимо, вы должны защитить свой вход от абсолютных путей или использовать на нем ...

С чем-то вроде

$project_path = realpath($project_path); 
$realpath = realpath($user_input); 
if (str_pos($realpath, $project_path) !== 0) { 
    throw Exception('Security perimeter violation!'); 
}