3

JavaScript-файл методом post отсылает в handler_dir/handler.php строку base64-представление бинарного файла с изображением. Обработчик handler.php получает base64-строку, записывает её в созданный им файл и копирует этот файл во временную директорию:

$str = $_POST['base64'];
$img = "some_name.jpg";
file_put_contents($img, base64_decode($str));
rename($img, $temp_dir . $img);

Методом проб выяснилось, что это решение работает только в том случае, когда для директории обработчика handler_dir выставлены публичные права на запись и выполнение.

Насколько я понимаю, это очень и очень небезопасно (несмотря на то, что в самом файле handler.php происходит проверка авторизации, а в директорию handler_dir запрещен доступ на уровне .htaccess).

Прошу совета, правильно ли я понимаю, что существующее решение уязвимо в плане безопасности? Существуют ли способы исключить (на любом уровне) загрузку и выполнение вредоносного кода в директории handler_dir?

6
  • 1
    Что в $img? Почему не сохранять файл сразу в $temp_dir . $img?
    – Alexey Ten
    19 дек 2017 в 12:14
  • $img - это выбранное имя файла. За идею писать сразу в $temp_dir большое спасибо, но разве возможно объединить в конструкцию вроде такой: file_put_contents($img, $temp_dir . $img, base64_decode($str)); ?
    – 118_64
    19 дек 2017 в 12:31
  • но разве возможно - а кто помешает?
    – Alexey Ten
    19 дек 2017 в 13:21
  • да, спасибо, так удалось избежать публичных прав на запись для handler_dir - file_put_contents($temp_dir . $img, base64_decode($str)); Осталась проблемная $temp_dir, с ней придется разбираться отдельно пользуясь рекомендациями @A K.
    – 118_64
    19 дек 2017 в 15:07
  • А, вот ещё что гуглить по вашему вопросу о том, чтобы оставить только index.php в веб-каталоге: "единая точка входа", сегодня попалось в вопросе
    – A K
    21 дек 2017 в 11:32

1 ответ 1

2

Как только вы открываете пользователям возможность загружать на сайт какие-то файлы — вы сразу самолично создаёте огромную дыру в безопасности сайта. Это ещё один дополнительный вектор атаки на сайт.

Да, хороший разработчик тут же начинает закрывать эту дыру какими-то действиями, многие из них будут весьма действенными — но до конца закрыть её будет можно лишь теоретически — отняв саму возможность загружать.

Чем плохо ваше решение? Тем, что загрузчик лежит в том же самом каталоге, что и загружаемые файлы. Зачем? Современные практики вообще доходят до того, что на сайте остаётся лишь один index.php, а остальной движок лежит выше уровня www_root. Вам нужно создать отдельную папку upload только под загруженные файлы. Отделяйте код от контента — это хорошо как с точки зрения хороших практик программирования, так и помогает с точки зрения безопасности.

Непонятно, почему вы пишете, что "решение работает только в том случае, когда для директории обработчика handler_dir выставлены публичные права на запись и выполнение". Вполне достаточно, чтобы PHP-скрипты имели owner'ом пользователя apache (ну или от кого у вас запускается веб-сервер?) и имели права 0644 (и, при условии включенного SELinux достаточно иметь контекст httpd_sys_content_t).

А вот на папку upload, куда вы хотите сохранять картинки, нужно, чтобы owner был apache, права на каталог 0755 и SELinux контекст httpd_sys_rw_content_t.

Что можно порекомендовать на практике для улучшения безопасности?

В этой статье собраны хорошие практики, посмотрите весь чеклист из рекомендованного вопроса PHP image upload security check list.

Раз вы загружаете картинки — обратите внимание вот на какой способ защиты. Возьмите и сожмите картинку при помощи GD или ImageMagic на 99% — визуально картинка останется такой же (ну, если это не совсем крохотная картинка, а достаточно крупная), а зловредный код такую трансформацию не переживёт, как бы он не был представлен (приклеен после картинки или внедрён в неё).

Подскажите, где можно прочитать об изменении уровня относительно www_root?

Видимо что-то типа "Вынесение за пределы корня сайта"? А, вот ещё: "единая точка входа", сегодня попалось в вопросе. Самое краткое описание это "В идеале, чтобы система была спроектирована так, что в public_html будет лежать только index.php, внутри которого единственное подключение файлика, не лежащего в public_html", в качестве примера движка - посмотрите Laravel

5
  • 1
    перечитав вопрос не уверен, что загрузчик лежит там же -- если что вырежу потом из ответа или уточню, что имелось ввиду. По крайней мере, у меня на файле загрузчика нет никаких прав, кроме "можно читать пользователю из-под которого запущен веб-сервер" и в SELinux выставлены права как httpd_sys_content_t (а на директорию upload -- как httpd_sys_rw_content_t -- подробнее почитать в этом ответе)
    – A K
    19 дек 2017 в 12:53
  • как таковой файл не загружается, на вход handler.php поступает base64-строка. И лишь после этого созданный handler.php-ом файл изображения копируется во временную директорию $temp_dir. Но в любом случае мне самому не нравятся права, которые я установил для $temp_dir и директории обработчика handler_dir. Подскажите, где можно прочитать об изменении уровня относительно www_root? Есть доступный how-to, или хотя бы общепринятое название решения для поиска в гугле?
    – 118_64
    19 дек 2017 в 13:09
  • 1
    Хм. Видимо что-то типа "Вынесение за пределы корня сайта"? Самое краткое описание это "В идеале, чтобы система была спроектирована так, что в public_html будет лежать только index.php, внутри которого единственное подключение файлика, не лежащего в public_html", в качестве примера движка - посмотрите Laravel
    – A K
    19 дек 2017 в 13:21
  • Прошу прощения, что поднимаю этот вопрос: можно ли ограничиться сменой владельца для папки загрузки изображений на apache без того, чтобы конфигурировать SELinux и контекст?
    – 118_64
    21 дек 2017 в 23:56
  • @118_64 Конечно можно. И работать будет. SELinux -- это уже вишенка на торте безопасности.
    – A K
    22 дек 2017 в 8:44

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.