PHP - なぜmove_uploaded_fileを使用し、名前を変更しないのですか？

Question

このマニュアルでは、セキュリティ上の理由から何かが表示されていますが、何が問題なのかよく分かりませんでした。

この関数は、filenameで指定されたファイルが（それはPHPのHTTP POST アップロード機構を介してアップロードされたことを意味する）有効なアップロードファイル であるかどうかを確認します。ファイルが有効な場合は、宛先によって指定された ファイル名に移動されます。

アップロードされたファイルで行われたことが ユーザー、または同じシステム上の他のユーザーにも公開される可能性がある場合、この種のチェックは特に重要です。

PHPでアップロードされていることを確認しますが、確認しないとどうなりますか？どんな情報が明らかになったのか、そしてどのように？

誰かがこれを説明できますか？例は素晴らしいでしょう。

Answer 1

この場合のセキュリティ上の問題は、アップロードディレクトリが一般公開されていることです。

このような状況を回避するには、ApacheなどのWebサーバーを設定して、ディレクトリの公開を禁止する必要があります。

また、PHPスクリプトでファイルをアップロードするときは、ファイルの名前を混合文字で改名してください。

たとえば、暗号化されたタイムスタンプと実際のファイル名を組み合わせて使用​​できます。

ファイルのアップロードを処理するのが一般的なようです。この方法でファイルのアップロードを安全に処理できます。

EDITED：

この答えは、コメントでは、あなたの質問ごとに編集されています。

名前を変更するには、wwwディレクトリ内の既存のファイルをrename($existing_old_file_name, $new_file_name)の機能で使用する必要があります。

move_uploaded_file($tmp_uploaded_file_name, $new_file_name)機能は、アップロードされたファイルをtmpディレクトリから指定した宛先に、関数の第2パラメータとして移動します。

Answer 2

PHPスクリプトでは、実行時に名前が決まったファイル（アップロードされたばかりの一時ファイルの名前）が移動する可能性が高くなります。チェックは、記述の悪いスクリプトがシステムファイルや認証秘密​​を含むファイルを公開しないようにするためのものです。

イメージをサーバーにアップロードし、私が提供している超かわいい猫のGIFを埋め込んでそのイメージを拡張し、再度ダウンロードできるスクリプトを作成するとします。

http://example.com/add-kitty.php?img=ato3508.png&add=kitty31.gif 

それとも私が間違って、このことを考えて、クッキーやPOSTデータで同じ情報を埋め込む：あなたが作業している画像を追跡するために、私は私の編集ボタンの要求URLでファイル名を埋め込みますより安全になります。次に、適度に進取しているスクリプト児童が来て、これを（またはPOST /クッキー同等物）しようとします：

http://example.com/add-kitty.php?img=$2Fetc%2Fpasswd&add=kitty31.gif 

それを見ますか？それはURL /etc/passwdのURLです。おっとっと！あなたはちょうどあなたの/etc/passwdファイルをダウンロードできるようにしているかもしれません。

明らかに、これは完全な悪用ではありませんが、私はあなたが考えていると確信しています。move_uploaded_file関数は、あなたのコードに意図しないファイル名を挿入する攻撃からあなたを守るために特別なチェックを行います。