O uso da função dirname(__FILE__)
ou da constante mágica __DIR__
é apropriadamente segura para impossibilitar um local file inclusion ou um remote file inclusion em um require()
que recebe parâmetros por GET?
Há uma solução para este problema?
Stack Overflow em Português é um site de perguntas e respostas para programadores profissionais e entusiastas. Leva apenas um minuto para se inscrever.
Inscreva-se para participar desta comunidadeO uso da função dirname(__FILE__)
ou da constante mágica __DIR__
é apropriadamente segura para impossibilitar um local file inclusion ou um remote file inclusion em um require()
que recebe parâmetros por GET?
Há uma solução para este problema?
Colocar o caminho absoluto para diretórios evita acessar outras pastas?
Não. Pois se o "atacante" colocar ../
, sabendo o caminho do arquivo, ele pode acessar um diretório indesejado de qualquer forma.
Ou seja, para a seguinte estrutura abaixo:
app/
database.php
web/
index.php
pages/
home.php
contact.php
Se o web/index.php
é a "raiz" do seu aplicativo, mas o usuário mal intencionado colocar o ?page=../app/database.php
, ele teoricamente estaria fazendo com o que o PHP efetue o include
normalmente.
Para você entender. Tudo isso abaixo resulta na mesma operação
include 'app/database.php';
include __DIR__ . '/app/database.php'
#supondo que estamos na pasta 'web'
include __DIR__ . '../app/database.php';
Observe que fornecer um nome absoluto para o diretório raiz de determinado diretório ou arquivo desejado não impede que outros arquivos (fora dele) sejam acessados.
Nesse caso, acho muito apropriado que, para carregamento de páginas através de get
, se façam funções com tratamentos específicos.
Exemplo:
function page_include($page)
{
if (strpos($page, '..') !== false) {
throw new Exception("Caractere inválido detectado");
}
include WEB_DIRECTORY . '/pages/' . $page;
}
Talvez isso seja algo básico. Você poderia incluir outras verificações, evitando ataques.
Remote file inclusion (inclusão remota de arquivos)
allow_url_include
é uma configuração que permite você usar o include
em urls (o que eu não acho nada bom). Sobre isso recomendo que você desative a configuração allow_url_include
, pois nesse caso, permitir tal configuração é dar sua aplicação de mãos-beijadas na mão de pessoas mal intencionadas.
PHP injection
É um outro problema comum envolvendo arquivos ou pastas em PHP. Leia sobre isso aqui: O que é o PHP Injection? Qual a diferença dele para o SQL Injection? E como evitá-lo?
file:///etc/passwd
por exemplo, não haveria os dois pontos para serem pegos no "filtro", mas isso também funcionaria? Ví em um exemplo do livro Pro PHP Security e isso me deixou confuso.