Qiita Teams that are logged in
You are not logged in to any team

Log in to Qiita Team
Community
OrganizationAdvent CalendarQiitadon (β)
Service
Qiita JobsQiita ZineQiita Blog
233
Help us understand the problem. What is going on with this article?
@ichimura

ホワイトハッカーへの道 二歩目

More than 1 year has passed since last update.

ファイルアップロード機能の脆弱性を考える

Webサイトのセキュリティ対策でまず知っておきたいのがファイルアップロードに対する対策です。
ホワイトハッカーへの道 一歩目で見てきたローカルプロキシーツールを使えば、運用中のサイトについて検証が可能です。

ローカルプロキシーツールburpsuiteを使った攻撃手順は下の動画を参考にしてください。
https://www.youtube.com/watch?time_continue=134&v=LLF-DNsFCfU

攻撃手法

ファイルアップロードからどんな攻撃があるかを見ていきましょう。

BKDR_ZZPEG (JPGファイルのExifにスクリプトを埋め込む攻撃)

Exif とは「Exchangeable image file format」の略称です。
jpgにはデータサイズや画素数、圧縮の種類などの情報を保管できる領域が設けられています。
この領域にスクリプトを埋め込み他のファイルからこのjpgファイルのExif情報を実行する攻撃です。
手法はこちらを参考にしてください。

FileUploadAttack (ヘッダーのcontent-typeを改竄してスクリプトをアップロードする攻撃)

アップロード処理の穴をついてスクリプトファイルをサーバにアップロードし、アップロードしたスクリプトファイルを通して意図しない動作を引き起こす攻撃です。
手法はこちらを参考にしてください。

ファイル名にパス情報を追加してアップロードする攻撃

ファイル名に「../../hoge.jpg」などのパス情報を含めアップロードします。
アプリケーションで適切な対応を取らないとサーバに書き込み、実行権限のあるフォルダにWebshellをアップロードされ実行されてしまいます。
* WebShellとはphpなどのスクリプトからshellコマンドが実行できてしまうスクリプトファイルのことです。

対策

アプリケーション、サーバに以下の対策がなされているか確認します。

  • ファイル名にパスが含めれないかチェックする。
  • ファイルにスクリプトタグが含まれていないかのチェックする。
  • MIMEタイプに対応する拡張子をチェックする。
  • アップロードサイズをチェックする。
  • アップロード時にEXIFは削除する。
  • アップロードされたファイル名をランダムなファイル名にする。
  • アップロードディレクトリ、ファイルは実行権限を付与しない。
  • アップロード先をドキュメントルート外フォルダかクラウドにする。

サンプルコード

PHPではグローバル変数$_FILESを使って、$_FILES[inputのname属性][アップロードファイルの項目]でファイル情報を取得できます。取得できる項目は以下になります。

項目 内容
name 元ファイル名
type ファイルタイプ
tmp_name サーバーに一時保管されたファイル名
error エラーコード
size ファイルサイズ

またerrorの値を使ってエラーチェックが可能です。

コード エラー定数 説明
0 UPLOAD_ERR_OK エラーなし
1 UPLOAD_ERR_INI_SIZE php.iniのupload_max_filesizeのサイズを超えている
2 UPLOAD_ERR_FORM_SIZE HTMLフォームで指定された MAX_FILE_SIZE を超えている
3 UPLOAD_ERR_PARTIAL 一部のみしかアップロードされていない
4 UPLOAD_ERR_NO_FILE アップロードされなかった
6 UPLOAD_ERR_NO_TMP_DIR サーバー一時保管フォルダがない
7 UPLOAD_ERR_CANT_WRITE ディスクへの書き込みに失敗
8 UPLOAD_ERR_EXTENSION PHPの拡張モジュールがアップロードを中止した

こちらを使ってファイルアップロード時のエラーチェックを作成します。

権限は実行権限のない644に変更してます。

d r w x
ディレクトリ 読み 書き 実行
記号 rw- r-- r--
属性値 6 4 4
(4+2+0) (4+0+0) (4+0+0)
自分 グループ 他人
<?php
$fileName = $_FILES['upload']['name'];
$tmpName  = $_FILES['upload']['tmp_name'];
$fileSize = $_FILES['upload']['size'];
$extentison = pathinfo($fileName, PATHINFO_EXTENSION);

try {
    // ファイル名にパスが含めれないかチェック
    if (basename(realpath($fileName)) !== $fileName) {
       throw new RuntimeException('ファイル名が不正です');
    }

    // ファイルにスクリプトタグが含まれていないかのチェック
    if (count(token_get_all($fileName)) >= 2)  {
       throw new RuntimeException('ファイル形式が不正です');
    }

    // MIMEタイプに対応する拡張子チェック
    if ($extentison != array_search(
        mime_content_type($tmpName),
        array('gif' => 'image/gif', 'jpg' => 'image/jpeg', 'png' => 'image/png',)
        , true)
     ) {
        throw new RuntimeException('ファイル形式が不正です');
     }

    // $_FILES['upload']['error']の値チェック
    // アップロードサイズをチェック
    if (!isset($_FILES['upload']['error']) 
    || !is_int($_FILES['upload']['error'])
    ) {
       throw new RuntimeException('ファイル形式が不正です');
    } else {
       switch ($_FILES['upload']['error']) {
            case UPLOAD_ERR_OK:
                break;
            case UPLOAD_ERR_NO_FILE:
                throw new RuntimeException('ファイルが選択されていません');
            case UPLOAD_ERR_INI_SIZE:
            case UPLOAD_ERR_FORM_SIZE:
                throw new RuntimeException('ファイルサイズが大きすぎます');
            default:
                throw new RuntimeException('その他のエラーが発生しました');
       }
    }

    // アップロード時にJPEGの場合はEXIFをGDで削除
    list(, , $type) = getimagesize($tmpName);
    if($type === IMG_JPG) {
        // 新規サイズを取得
        $gd = imagecreatefromjpeg($tmpName);
        $w = imagesx($gd);
        $h = imagesy($gd);
        // 再サンプル
        $out = imagecreatetruecolor($w, $h);
        imagecopyresampled($out, $gd, 0, 0, 0, 0, $w, $h, $w, $h);
        // 元画像を削除した上で同一名でファイルを再生成
        unlink($tmpName);
        imagejpeg($out, $tmpName, 100);
        imagedestroy($gd);
    }

    // アップロードされたファイル名をランダムなファイル名にする。
    // ドキュメントルート外のフォルダを指定する クラウドストレージが安全。
    if (!move_uploaded_file(
            $tmpName, 
            $path = sprintf('./uploads/%s.%s', sha1_file($tmpName),
            $extentison
        )
    )) {
        throw new RuntimeException('ファイル保存時にエラーが発生しました');
    }

    // アップロードファイルは実行権限のない状態へ
    chmod($path, 0644);

    echo '正常アップロード';
} catch (RuntimeException $e) {
    echo $e->getMessage();
}

こちらのコードは検証中です。
そのまま使うのは自己責任でお願いいたします。

まとめ

ファイルアップロードには危険がいっぱいです。フレームワークを入れても上記の攻撃は基礎として対応することが必要です。攻撃手法を理解し、対策を実施しましょう。
また他の攻撃手法やそれに対する対策がある方はアドバイス頂けますでしょうか。

三歩目は「今、改めてXSSを考える」です。

2019/02/19 更新

ファイルアップロードでアップロードされたWebShellについて
理解を深めるには下記の記事が大変参考になります。
https://qiita.com/WhatRune/items/f89581fb6b4041d7c68a

233
Help us understand the problem. What is going on with this article?
Why not register and get more from Qiita?
  1. We will deliver articles that match you
    By following users and tags, you can catch up information on technical fields that you are interested in as a whole
  2. you can read useful information later efficiently
    By "stocking" the articles you like, you can search right away
ichimura
プログラムはlaravel5.5、Anglaur6で止まっています。 最近はAWSを猛勉強中。 趣味は自転車と猫と戯れること。 インスタグラムで愛猫リオンの成長記録もしております。

Comments

No comments
Sign up for free and join this conversation.
Sign Up
If you already have a Qiita account Login
233
Help us understand the problem. What is going on with this article?