https://php-secure-coding.ohgaki.net/ Wed, 01 Jul 2026 19:44:51 +0000 FeedCreator 1.8 https://php-secure-coding.ohgaki.net/lib/exe/fetch.php/wiki/dokuwiki.svg https://php-secure-coding.ohgaki.net/ https://php-secure-coding.ohgaki.net/doku.php/ja/rule/fle/stat%E3%82%AD%E3%83%A3%E3%83%83%E3%82%B7%E3%83%A5%E3%82%92%E3%82%AF%E3%83%AA%E3%82%A2%E3%81%99%E3%82%8B?rev=1509007533&do=diff statキャッシュをクリアする PHPにはstat情報をキャッシュします。このため、PHPのAPI以外でstat情報を更新したり、外部プロセスがstat情報を更新した場合、キャッシュをクリアする必要があります。 anonymous@undisclosed.example.com (Anonymous) Thu, 26 Oct 2017 08:45:33 +0000 https://php-secure-coding.ohgaki.net/doku.php/ja/rule/fle/%E3%82%B7%E3%83%B3%E3%83%9C%E3%83%AA%E3%83%83%E3%82%AF%E3%83%AA%E3%83%B3%E3%82%AF%E3%82%92%E6%A4%9C%E8%A8%BC%E3%81%99%E3%82%8B?rev=1509011630&do=diff シンボリックリンクを検証する ファイルシステムを利用した攻撃手法にシンボリックリンクを利用した手法がある。このためアクセスしているファイルがファイルそのものなのか、シンボリックリンクなのか、検証しなければならない。 anonymous@undisclosed.example.com (Anonymous) Thu, 26 Oct 2017 09:53:50 +0000 https://php-secure-coding.ohgaki.net/doku.php/ja/rule/fle/%E3%83%95%E3%82%A1%E3%82%A4%E3%83%AB%E3%81%AE%E3%83%91%E3%83%BC%E3%83%9F%E3%83%83%E3%82%B7%E3%83%A7%E3%83%B3%E3%82%92%E6%A4%9C%E8%A8%BC%E3%81%99%E3%82%8B?rev=1509016519&do=diff ファイルのパーミッションを検証する 共有システムの場合、アクセスしているファイルのアクセス権限を確認し、不正に書き換えなどが行えない状態であることを確認する必要があります。アクセスパーミッション権限とファイルオーナー、ファイルグループを検証する必要があります。 anonymous@undisclosed.example.com (Anonymous) Thu, 26 Oct 2017 11:15:19 +0000 https://php-secure-coding.ohgaki.net/doku.php/ja/rule/fle/%E3%83%95%E3%82%A1%E3%82%A4%E3%83%AB%E3%83%91%E3%82%B9%E3%82%92%E3%82%B5%E3%83%8B%E3%82%BF%E3%82%A4%E3%82%BA%E3%81%97%E3%81%AA%E3%81%84?rev=1509010432&do=diff ファイルパスをサニタイズしない セキュリティ対策ではサニタイズ処理は基本的に利用してはならない処理である。ファイルパスをサニタイズするだけでは対策にならない場合がある。 anonymous@undisclosed.example.com (Anonymous) Thu, 26 Oct 2017 09:33:52 +0000 https://php-secure-coding.ohgaki.net/doku.php/ja/rule/fle/%E6%AD%A3%E8%A6%8F%E5%8C%96%E3%83%95%E3%82%A1%E3%82%A4%E3%83%AB%E3%83%91%E3%82%B9%E3%82%92%E5%88%A9%E7%94%A8%E3%81%99%E3%82%8B?rev=1509001925&do=diff 正規化ファイルパスを利用する ファイルパス名の正規化はシステムによって異なる。Windows/Linuxの場合は積極的にUnicode正規化を行わずNFC正規化を利用する。macOSの場合、積極的にNFD正規化を行う。 anonymous@undisclosed.example.com (Anonymous) Thu, 26 Oct 2017 07:12:05 +0000 https://php-secure-coding.ohgaki.net/doku.php/ja/rule/fle/%E8%AA%AD%E8%BE%BC%E3%82%80%E3%83%95%E3%82%A1%E3%82%A4%E3%83%AB%E3%82%B5%E3%82%A4%E3%82%BA%E3%82%92%E6%A4%9C%E8%A8%BC%E3%81%99%E3%82%8B?rev=1509003912&do=diff 読込むファイルサイズを検証する ファイルサイズが保証できない場合、ファイルサイズを検証しないと巨大なデータを読み込んでしまう可能性がある。大きなデータには小さなファイルにないリスクが存在する。 anonymous@undisclosed.example.com (Anonymous) Thu, 26 Oct 2017 07:45:12 +0000