如何在本PHP代碼中防止本地文件下載？

Question

我有這樣的PHP代碼：

<?php 

header("Content-Type: application/force-download"); 
header("Content-Disposition: attachment; filename=\"".$_GET['name']."\""); 
$file_content = file_get_contents($_GET['name']); 
echo $file_content; 

?> 

在這種情況下，攻擊者可以申請在我的網站上下載文件：

localhost/file.php?name=../../../../../../../etc/passwd

我需要一種方法來防止用戶下載任何東西從當前目錄中除去.zip文件。

Answer 1

在打開文件之前，您應該檢查$_GET['name']的內容是否合法。

特別是，在你的情況，請檢查：

• 它.zip
• 它不包含一個NULL字節，以防止過早終止字符串結尾（見Null bytes related issues）
• 它不包含路徑分隔符（/和\）。

下面是一個例子：

$filename = $_GET['name']; 
if (strpos($filename, "\0") !== false) { 
    // contains NUL byte 
} else if (substr(strtolower($filename), -4) !== '.zip') { 
    // doesn’t end with ".zip" 
} else if (basename($filename) !== $filename) { 
    // contains path separator 
} else if (!is_file($filename)) { 
    // file does not exist 
} else { 
    // everything is fine 
}