フォームとDOM操作に関するPHPセキュリティ

Question

私は、PHPのセキュリティについて仲間の同僚と面白い議論をしていました。

たとえば、ある人が標準のHTMLフォームで動作するPHPサイトを持っているとします。攻撃者はChromeデベロッパーツールを使用してDOM enctype="multipart/form-data"とfile inputを追加します。

攻撃者はファイルをアップロードしますが、ウイルスであってもまだその時点で帯域幅/ストレージを使用している場合は実行されない可能性があります。これを行うだけで、ファイルはPHP /tmpディレクトリに入りますか？これは、ユーザーがどんな形式でもファイルをアップロードできるように、あらゆる形を何らかの形にするのではないでしょうか？

10万人がDOMに追加してランダムなギガバイトのファイルをアップロードした場合の規模は？一時的に帯域幅やストレージマークに当たってしまうのではないでしょうか？

Answer 1

アップロード自体は何が起こったとしても起こります。ファイルはアップロードtempディレクトリに格納され、PHPスクリプトが起動します。スクリプトがアップロードされたファイルを処理しない場合は、スクリプトの実行が終了すると自動的に一時ディレクトリからファイルが削除されます。

最大サイズを超えたときにサーバーが要求を中止するかどうかは、構成の問題です。