php - PHP 的 ZipArchive 的潜在安全问题

Question

我想允许成员(member)选择使用 zip 文件上传内容。上传后，我想使用 PHP 的 ZipArchive 类将 zip 文件内容解压缩到一个目录，然后将文件移动到我们的系统中。

虽然我担心潜在的安全风险，但我在 php.net 上找不到任何文档。想到的第一个(好吧，唯一的)风险是有人创建了一个带有诸如“../../etc/passwd”之类的相对路径的 zip 文件(如果他们假设我在/tmp/somedir 中解压缩文件)。

我实际上很难在 zip 文件中创建相对路径，所以我无法测试这样的事情是否可行。我也找不到任何方法来使用 ZipArchive 提取 zip 文件的内容，并让它忽略目录(解压缩所有文件，但不要在 zip 中创建目录结构)。

谁能告诉我这种利用是否可能，和/或如何使用 ZipArchive 忽略 zip 文件中的目录结构？

Answer 1

有趣的问题，但我建议您换一种方式来解决这个问题。我强烈建议您在 chroot jail 中以最低权限运行您的 Web 进程。假设您这样做，可能发生的最糟糕的事情是您的网站被污损，然后您恢复备份并进行一些取证以填补该特定漏洞。不断发现新的漏洞，您将很难完全保护您的网站以应对这些预感。最大限度地减少攻击者的沙箱确实有很长的路要走。