Dosya Sistemi Güvenliği

İçindekiler

PHP, çoğu sunucu sisteminde bulunan dizin ve dosya erişim izinleri ile ilgili yerleşik güvenlik önlemlerinden etkilenir. Bu izinlerle dosya sisteminden kimin hangi dosyaları okuyabileceğini denetleyebilirsiniz. Dosya sistemine erişimi olan tüm kullanıcıların sadece herkesçe okunabilen dosyaları okuyabilmesini sağlamalısınız.

PHP, dosya sistemine kullanıcı seviyesinde düşük seviyeli erişime izin verecek şekilde tasarlandığından, /etc/passwd gibi sistem dosyalarını okumak, eternet bağlantılarını değiştirmek, yazıcılara iş göndermek ve benzerleri tamamen mümkündür. Bu durum sizin bazı önlemler almanızı gerektirir; dosyaları kimlerin okuyabileceğine ve kimlerin yazabileceğine karar vermeniz gerekir.

Örneğin, aşağıdaki betiği ele alalım. Kullanıcı, ev dizinindeki bazı dosyaları silmek istiyor olsun. Bir sayfanın, kullanıcının ev dizinindeki bazı dosyaları Apache kullanıcısına sildirmek için bir arayüz olarak kullanıldığını varsayalım.

Örnek 1 - Değişkenler başınıza iş açabilir...

<?php
// Kullanıcının ev dizininden bir dosya silelim
$kullanıcı = $_POST['kullanıcının_belirttiği_isim'];
$kullanıcı_dosyası = $_POST['kullanıcının_belirttiği_dosyaismi'];
$evdizini  = "/home/$kullanıcı";

unlink("$evdizini/$kullanıcı_dosyası");

echo "Dosya silindi!";
?>
Birine ait bir kullanıcı ve dosya ismi bir formdan gönderilebileceğinden bunu yapmaya izni olmayan biri bile bu betikle dosya silebilir. Bu durumda kimlik doğrulaması yapabilen bir betik kullanmak daha iyi olabilir. Birinin formu kullanarak "../etc/" ve "passwd" girdiğini varsayalım ve betikte neler oluyor bakalım:

Örnek 2 ... Bir dosya sistemi saldırısı

<?php
// PHP kullanıcısının erişebildiği bir yerden bir dosyayı silelim.
// PHP root yetkilerine sahip olsun.
$kullanıcı = $_POST['kullanıcının_belirttiği_isim']; // "../etc"
$kullanıcı_dosyası = $_POST['kullanıcının_belirttiği_dosyaismi']; // "passwd"
$evdizini  = "/home/$kullanıcı"; // "/home/../etc"

unlink("$evdizini/$kullanıcı_dosyası"); // "/home/../etc/passwd"

echo "Dosya silindi!";
?>
Bu saldırıyı önlemek için dikkate alacağınız iki ölçüt vardır.
  • PHP çalıştırılabilirini çalıştıran kullanıcının izinlerini sınırlamak.
  • Form ile gönderilen tüm değişkenleri denetlemek.
Düzeltilmiş betik:

Örnek 3 - Daha güvenilir bir dosya silme betiği

<?php
// PHP kullanıcısının erişebildiği bir dosyayı silelim.
$kullanıcı = $_SERVER['REMOTE_USER']; // kimlik doğrulaması yapıyoruz
$dosya = basename($_POST['kullanıcının_belirttiği_dosyaismi']);
$evdizini  = "/home/$kullanıcı";

$dosyayolu = "$evdizini/$dosya";

if (file_exists($dosyayolu) && unlink($dosyayolu)) {
    $günce = "$dosyayolu silindi\n";
} else {
    $günce = "$dosyayolu silinemedi\n";
}
$dt = fopen("/home/logging/filedelete.log", "a");
fwrite($dt, $günce);
fclose($dt);

echo htmlentities($logstring, ENT_QUOTES);

?>
Ancak, bu bile kusurları örtmeye yetmez. Eğer kimlik doğrulama sisteminiz kullanıcıya kendi ev dizinini belirtmesine izin veriyorsa ve kullanıcı "../etc/" dizinine oturum açmayı istiyorsa sistem hala tehdit altında demektir. Bu nedenle, sınanacak noktaları genişletmelisiniz:

Örnek 4 - Daha da güvenilir bir dosya silme betiği

<?php
$kullanıcı = $_SERVER['REMOTE_USER']; // kimlik doğrulaması yapıyoruz
$dosya = $_POST['kullanıcının_belirttiği_dosyaismi'];
$evdizini  = "/home/$kullanıcı";

$dosyayolu = "$evdizini/$dosya";

if (!ctype_alnum($kullanıcı) ||
    !preg_match('/^(?:[a-z0-9_-]|\.(?!\.))+$/iD', $dosyayolu)) {
        die("Kullanıcı veya dosya ismi hatalı");
}

//vs...
?>

Kullandığınız işletim sistemine bağlı olarak, dikkate alacağınız geniş bir dosya isimleri yelpazesi vardır: aygıt dosyaları (/dev/ veya COM1 gibi), yapılandırma dosyaları (/etc/ ve .ini dosyaları), bildik saklama alanları (/home/, My Documents), vb. Bu nedenle, açıkça izin verilenler dışında kalan herşeyi yasaklamak en kolayıdır.