Scriptorama.nl

Het programmeren van een veilige website is best wel een klus: Scriptorama heeft er al een paar artikelen over geschreven en dan hebben we nog lang niet alles besproken. Vandaag kijken we eens naar het gebruik van bestanden met bijvoorbeeld GD maar ook met de include-functie.

Header, content, Footer

Als je onze vorige artikelen hebt doorgelezen, dan weet je misschien al het nodige over de veiligheids problemen die kunnen ontstaan. Een van de vuistregels is:

Verifieer dat de data die je ontvangt in het formaat is dat je verwacht.

Helaas doen veel mensen dat wel bij het ene, maar vergeten ze het compleet bij het andere. Of ze zijn niet voldoende op de hoogte van het gedrag van functies die ze gebruiken met onveilige data en dat leidt weer tot mogelijke problemen.

Laten we het all-time-favorite gebruik van include eens bekijken bijvoorbeeld. Wat veel mensen willen is dat ze een keer een pagina kunnen definieren en dan afhankelijk van wat wordt meegegeven aan de URL kunnen bepalen wat de daadwerkelijke inhoud is. Dan komen ze in het begin meestal op iets als:

Als je dergelijke code bij een vraag op een forum plaatst beginnen veel mensen vaak al te steigeren (gelukkig!) want op deze manier kun je zo ongeveer alles doen wat je juist niet wilt dat er gebeurd. Je kunt een willekeurig tekst bestand opgeven op de server, zoals bijvoorbeeld /etc/passwd. Enger: je zou ook een URL kunnen opgeven waar PHP code in staat: http://localhost/mijncode.txt. Deze code wordt dan gewoon uitgevoerd!

Wat mensen dan vaak zeggen is dat je er voor moet zorgen dat er ".php" achterstaat, dan zou je nooit een bestand als /etc/passwd kunnen opgeven:

Dat is nu precies waar het dan alsnog fout gaat: de include functie is namelijk niet binary safe. Als er binaire gegevens worden meegegeven in de bestandsnaam, waarbij het in dit geval gaat om het karakter NULL, zal de include functie de opgegeven bestandsnaam enkel lezen tot dit NULL karakter en de rest vergeten. Het volgende voorbeeld illustreert dit:

Als we deze code vervolgens uitvoeren:

.. zie je dat het MOTD bestand (Message Of The Day) van mijn PC door PHP geincludeert en,omdat het geen PHP code bevat, direct vertoont is! Je ziet vast wel wat voor vervelende dingen je hiermee kunt uithalen! Een ander voorbeeld is bijvoorbeeld het gebruik van GD. Deze module heeft ook de nodige functies die met bestanden werken. In een topic op PHPFreakz stond bijvoorbeeld de volgende code:

Wederom zie je dat gedacht wordt dat je door een extensie er achter te plakken veilig bent, maar niets is minder waar:

Als we dit uitvoeren:

Toegegeven, op een Unix-achtige machine, zoals Linux of FreeBSD zul je hier niet heel veel mee kunnen uithalen omdat het bestandssysteem niet zomaar toestaat dat je naar bestanden van anderen gaat schrijven. Persoonlijk zou ik toch wat rustiger slapen als ik zeker wist dat iedereen die op mijn website komt ook niet in staat is om dat zomaar te PROBEREN.

Dus, hoe lossen we dat op?

De oplossing is dus nogmaals:

Verifieer dat de data die je ontvangt in het formaat is dat je verwacht.

In het geval van het includen van een bestand is de gegeven oplossing vaak het gebruik van een switch statement of bijvoorbeeld een array met mogelijke bestanden:

Maar dat is misschien niet flexibel genoeg. Nu moet je iedere keer als je een pagina toevoegt dus prutten in je code. Wat je ook kunt doen is van te voren bepalen dat alle pagina bestand namen alleen mogen bestaan uit letters met hooguit een underscore. Wanneer je hier vervolgens op gecontroleerd hebt kun je de gegevens veilig gebruiken:

De zelfde methode kun je gebruiken op het GD voorbeeld:

Conclusie

Tja, de conclusie is simpel. Verifieer dat de data die je ontvangt in het formaat is dat je verwacht. ;-)

Update 09/04/2007: Code voor dit artikel is aangepast naar aanleiding van het volgende artikel: Quick tip: waarden controlen met preg_match() in PHP