主页 / 问题 / 610931
Accepted
Yuri
Asked:2020-01-05 02:19:15 +0000 UTC2020-01-05 02:19:15 +0000 UTC

安全运行 php 文件

  • 772

你好。我正在做一些类似于带有 PHP 代码编辑器的网站。当我按下浏览按钮时，将在一个特殊目录中创建一个具有唯一 ID 的文件夹，并在其中创建一个包含 PHP 代码本身的文件（例如：）/_projects/6dfh78d76dfg87/index.php。然后此页面将以iframe.

所以这就是问题所在：我遇到了安全问题。从创建的文件中，您可以编辑任何站点文件（.htaccess 和其他站点文件）。关于如何限制对站点上文件的访问，我概述了几个选项：

  1. 保护重要文件的修改和删除（但有一个缺点：你可以编辑别人“项目”的文件）
  2. 防止目录中的文件访问{ID}/_projects/{ID}/文件夹之外的文件
  3. 禁用 PHP 中的某些功能
  4. 从函数中隐藏目录和文件，例如scandir， dirname...
  5. 检查 PHP 文件中禁止的函数

但我不知道如何实现这些选项。你能告诉我该怎么做吗？或者有人知道更好的方法吗？我会很感激。提前致谢。

php

4 个回答

  1. Best Answer

    最可靠的选择是在配置了SECCOMP和 selinux SELinux的容器（如 Docker）中运行代码。有了它，您可以运行任何代码，而不仅仅是 PHP。

    代码几乎可以做任何事情，你可以随心所欲地限制它。

    关于如何保护 Docker 容器的演示：幻灯片和视频

    • 18

  2. @Yuri，从你的例子中的路径来看，它是一个 *nix 系统。那里一切都很简单，最重要的是指定项目的“业务逻辑”。换句话说，指定“谁可以做什么”。

    • 对于 PHP，我们分配一个单独的“用户”
    • 给他权利

    因此，他不能做他不被允许做的事。

    重要的

    考虑正确十次很重要。例子。用户被赋予创建任何文件的权利/能力。用户创建一个扩展名为.php... 的文件，然后获取并执行它。您了解他将能够执行具有访问 *.php 资源的用户权限的“可访问性”中的所有操作

    以同样的方式

    通过使用 *nix 的内置工具，您原则上限制了用户可以做的许多事情。在你的脚本中 - 你“提供”你需要的功能。为了确保安全- 这已经足够了。

    需要明确定义“任何文件”的概念。顺便说一下，通过掩码，通过保留名称...

    一个好的原则是“禁止一切，然后允许你需要的”。这是你的情况。

    • 10

  3. 在我看来，最简单的方法是在编辑文件时简单地检查用户的令牌和 ID。你有这个决定编号2。1 登录 2 获取文件和文件夹列表 /_projects/{ID}/ 3 如果用户可以自己输入路径，则解析路径并匹配文件夹的{ID}和用户的 {ID}

    作为另一种选择：生成一个唯一的所有者文件夹，其路径很难猜测，例如 KMnwVmc6Uz7zsJ4w，此选项不太安全。由于您没有关闭编辑，您只是依赖没有人会找到该文件夹

    • 6

  4. include通过您自己的路由脚本集中执行脚本。在那里，您可以通过指令限制资源的每个用户对文件系统的访问：

    ini_set('open_basedir', $userProjectDir);

    $userProjectDir在当前的执行会话中不可能上升得更高。目录路径必须是绝对路径。

    接下来，还有一个问题——访问localhost. 用户脚本应该只能访问允许的端口。这可以通过限制iptables中的运行时用户（php-fpm、apache、..）或通过虚拟化来实现。虚拟化还允许您限制与用户相关的机器资源。

    • 5

相关问题