Dosya Sistemi Güvenliği
İçindekiler
PHP, çoğu sunucu sisteminde bulunan dizin ve dosya erişim izinleri ile
ilgili yerleşik güvenlik önlemlerinden etkilenir. Bu izinlerle dosya
sisteminden kimin hangi dosyaları okuyabileceğini denetleyebilirsiniz.
Dosya sistemine erişimi olan tüm kullanıcıların sadece herkesçe
okunabilen dosyaları okuyabilmesini sağlamalısınız.
PHP, dosya sistemine kullanıcı seviyesinde düşük seviyeli erişime izin
verecek şekilde tasarlandığından, /etc/passwd gibi sistem dosyalarını
okumak, eternet bağlantılarını değiştirmek, yazıcılara iş göndermek ve
benzerleri tamamen mümkündür. Bu durum sizin bazı önlemler almanızı
gerektirir; dosyaları kimlerin okuyabileceğine ve kimlerin yazabileceğine
karar vermeniz gerekir.
Örneğin, aşağıdaki betiği ele alalım. Kullanıcı, ev dizinindeki bazı
dosyaları silmek istiyor olsun. Bir sayfanın, kullanıcının ev dizinindeki
bazı dosyaları Apache kullanıcısına sildirmek için bir arayüz olarak
kullanıldığını varsayalım.
Örnek 1 - Değişkenler başınıza iş açabilir...
<?php
// Kullanıcının ev dizininden bir dosya silelim
$kullanıcı = $_POST['kullanıcının_belirttiği_isim'];
$kullanıcı_dosyası = $_POST['kullanıcının_belirttiği_dosyaismi'];
$evdizini = "/home/$kullanıcı";
unlink("$evdizini/$kullanıcı_dosyası");
echo "Dosya silindi!";
?>
Birine ait bir kullanıcı ve dosya ismi bir formdan gönderilebileceğinden
bunu yapmaya izni olmayan biri bile bu betikle dosya silebilir. Bu durumda
kimlik doğrulaması yapabilen bir betik kullanmak daha iyi olabilir.
Birinin formu kullanarak "../etc/" ve "passwd" girdiğini varsayalım ve
betikte neler oluyor bakalım:
Örnek 2 ... Bir dosya sistemi saldırısı
<?php
// PHP kullanıcısının erişebildiği bir yerden bir dosyayı silelim.
// PHP root yetkilerine sahip olsun.
$kullanıcı = $_POST['kullanıcının_belirttiği_isim']; // "../etc"
$kullanıcı_dosyası = $_POST['kullanıcının_belirttiği_dosyaismi']; // "passwd"
$evdizini = "/home/$kullanıcı"; // "/home/../etc"
unlink("$evdizini/$kullanıcı_dosyası"); // "/home/../etc/passwd"
echo "Dosya silindi!";
?>
Bu saldırıyı önlemek için dikkate alacağınız iki ölçüt vardır.
-
PHP çalıştırılabilirini çalıştıran kullanıcının izinlerini sınırlamak.
-
Form ile gönderilen tüm değişkenleri denetlemek.
Düzeltilmiş betik:
Örnek 3 - Daha güvenilir bir dosya silme betiği
<?php
// PHP kullanıcısının erişebildiği bir dosyayı silelim.
$kullanıcı = $_SERVER['REMOTE_USER']; // kimlik doğrulaması yapıyoruz
$dosya = basename($_POST['kullanıcının_belirttiği_dosyaismi']);
$evdizini = "/home/$kullanıcı";
$dosyayolu = "$evdizini/$dosya";
if (file_exists($dosyayolu) && unlink($dosyayolu)) {
$günce = "$dosyayolu silindi\n";
} else {
$günce = "$dosyayolu silinemedi\n";
}
$dt = fopen("/home/logging/filedelete.log", "a");
fwrite($dt, $günce);
fclose($dt);
echo htmlentities($logstring, ENT_QUOTES);
?>
Ancak, bu bile kusurları örtmeye yetmez. Eğer kimlik doğrulama sisteminiz
kullanıcıya kendi ev dizinini belirtmesine izin veriyorsa ve kullanıcı
"../etc/" dizinine oturum açmayı istiyorsa sistem hala tehdit altında
demektir. Bu nedenle, sınanacak noktaları genişletmelisiniz:
Örnek 4 - Daha da güvenilir bir dosya silme betiği
<?php
$kullanıcı = $_SERVER['REMOTE_USER']; // kimlik doğrulaması yapıyoruz
$dosya = $_POST['kullanıcının_belirttiği_dosyaismi'];
$evdizini = "/home/$kullanıcı";
$dosyayolu = "$evdizini/$dosya";
if (!ctype_alnum($kullanıcı) ||
!preg_match('/^(?:[a-z0-9_-]|\.(?!\.))+$/iD', $dosyayolu)) {
die("Kullanıcı veya dosya ismi hatalı");
}
//vs...
?>
Kullandığınız işletim sistemine bağlı olarak, dikkate alacağınız geniş
bir dosya isimleri yelpazesi vardır: aygıt dosyaları (/dev/ veya COM1
gibi), yapılandırma dosyaları (/etc/ ve .ini dosyaları), bildik saklama
alanları (/home/, My Documents), vb. Bu nedenle, açıkça izin verilenler
dışında kalan herşeyi yasaklamak en kolayıdır.
