即使文件中填充了一些奇怪的二進制數據或一些奇怪的保護名稱，該標記中的代碼仍然會被執行。

這里有一個圖片給您：

該圖片沒有問題

它現在很純凈。但是您可能知道 JPEG 格式允許在文件中添加一些注釋。比如，拍攝照片的相機型號或坐標地址。如果我們試圖在里面放一些PHP代碼并嘗試?include?或?require?呢？讓我們來看看吧！

下載這個圖片到你的硬盤上。或者你自己去弄一張 JPEG 圖片也行。你隨便用什么格式的文件都無所謂。我建議用一個 JPEG 文件來演示，主要是因為它是一張圖片且易于在其中進行文本編輯。我用的是一個 Windows的筆記本，目前我手頭上沒有 Apple 或 Linux（或其他UNIX系的系統）的筆記本。所以一會我會發一個這個 OS 下的屏幕快照。但是我確信你肯定也能做這個事。

用以下這段 PHP 代碼建個文件：

Problem?



保存一個圖片命名為troll-face.jpg

把圖片和 php 腳本文件都放在同一個文件夾下
打開瀏覽器請求這個 php 文件

如果你把你的 php 文件命名為?index.php，然后把它放在文件根目錄或者放在你網站目錄下的任何一個文件目錄中。
如果你準確完成了上述步驟，你就可以看到這個畫面：

到此這都沒毛病。沒 PHP 代碼展示，也沒有 PHP 代碼被執行。
現在，我們來添加一個問題：

打開文件屬性對話框或運行一些允許編輯 EXIF 信息的應用程序
切換到 Details 選項卡或以其他方式編輯該信息
向下滾動到 camera 參數
將下面代碼復制到 “camera maker” 字段后面：

Yep, a problem!"; phpinfo(); ?>

刷新頁面！

很明顯出現了一點問題！
您在頁面上看到了該圖片。相同的圖片還存在頁面的 PHP 代碼中。圖片的代碼也被執行了。
我們該怎么做?!!1
長話短說:?如果我們不在程序種引入這些不安全的文件，文件中的腳本就不會執行。
仔細看下面的例子。
最終答案？
如果有人在某處看到我錯了 - 請糾正我，這是一個嚴重的問題。
PHP是一種腳本語言。您總是需要引用一些動態組合路徑的文件。因此，為了保護服務器，您必須檢查路徑并防止混淆您的站點文件和用戶上傳或創建的文件。如果用戶的文件與應用程序文件分開，則可以在使用上傳或創建文件之前檢查文件的路徑。如果它位于您的應用程序腳本允許的文件夾中 - 那么它可以使用 include_once 或 require 或 require_once 引入這個文件。如果不是--那么就不引入它。
如何進行檢查？這很簡單。你只需要將 $folder (文件)路徑與一個允許程序引入文件 ( $file ) 的路徑文件夾進行比較。
// 不好的例子，不要用！
if (substr($file, 0, strlen($folder)) === $folder) {
  include $file;
}
如果 ?$folder 的存放路徑是 /path/to/folder ?而且 ?$file? 的存放路徑是? /path/to/folder/and/file , 然后我們在代碼中使用 substr()?函數把他們的路徑都變成字負串進行判斷，如果文件位于不同的文件夾中---這個字符串將不相等。反之則反。
上面的代碼有兩個重要的問題。如果 file 路徑是  /path/to/folderABC/and/file，很明顯，該文件也不在允許引入的文件夾中。通過向兩個路徑添加斜杠可以防止這種情況。我們在這里向文件路徑添加斜杠并不重要，因為我們只需要比較兩個字符串。
舉個例子: 如果 folder 路徑是 ?/path/to/folder? 并且 file 路徑是?/path/to/folder/and/file ，那么從 file 提取和 folder 具有相同數量的字符，那么 $ folder 將是 /path/to/folder 。
再比如 folder 路徑是?/path/to/folder 并且 file 路徑是?/path/to/folderABC/and/file, 那么從 file 中提取 folder 具有相同數量的字符，和 $folder一樣，并且將再次成為/path/to/folder，這種都是錯誤的，這不是我們期望的結果。
因此，在 /path/to/folder/ 添加斜杠后，與 /path/to/folder/and/file 的提取部分 /path/to/folder/ 相同就是安全的。
如果將 /path/to/folder/ 與 /path/to/folderABC/and/file 的提取部分 / path/to/folderA ，很明顯二個字符串不一樣。
這就是我們期望得到的。但還有另一個問題。這并不明顯。我敢肯定，如果我問你，你看到這里有一個災難性的漏洞 - 你不會猜到它在哪里。你也許已經在經驗中使用過這個東西，甚至可能就在今天。現在，您將看到漏洞是如何隱晦和顯而易見。往下看。
/../
假想一個很常見的場景。
有這么一個網站。用戶可以上傳文件到該站點。所有的文件都位于一個特定的目錄下。有一個包含用戶文件的腳本。腳本自上而下進行查找是否包含用戶的輸入（直接或間接）路徑---那這個腳本可以通過如下方式進行路徑偽造：
/path/to/folder/../../../../../../../another/path/from/root/
舉例。用戶發起請求，你的腳本中包含了一個基于類似如下用戶輸入路徑的文件：
include $folder . "/" . $_GET["some"]; // or $_POST, or whatever
你麻煩大了。有天用戶發送一個?../../../../../../etc/.passwd?這種或其他請求，你就哭吧。
再不然。假如有人讓你的腳本加載一個他想要的文件，你就廢了。它不一定就只是出現在用戶文件中。它可能是你的CMS或你自己文件的一些插件（別相信任何人），甚至是應用程序邏輯中的錯誤等。
或者
用戶可能會上傳一個名為 file.php 的文件，你會把它和其他的用戶文件一樣放在一個特定的文件夾里面：
move_uploaded_file($filename, $folder . "/" . $filename);
用戶的文件就存放在那里，你必須常常檢查從來沒有包含該文件夾中的文件，目前來看，所有的東西都挺正常的。通常，用戶發給你的文件不會包含斜杠或者其他特殊字符，因為這是被系統文件系統禁止的。之所以這樣，是因為通常情況下瀏覽器發給你的文件是在真實文件系統中創建的，同時它的名字是一些真實存在的文件的名字。
但是 http 請求允許用戶發送任何字符。所以如果某人偽造請求創建名為 ../../../../../../var/www/yoursite.com/index.php 的文件---這行代碼會覆蓋你的 index.php 文件，如果 index.php 處于在上述路徑的話。
所有的初學者都希望通過過濾 「..」或者斜杠來解決這個問題，但是這種做法是錯誤的，由于你在安全方面還缺乏經驗。同時你必須（是的，必須）明白一個簡單的事情：你永遠無法在安全和密碼學方面的獲得足夠的知識。這句話的意思是，如果你懂得了「兩個點和斜杠」的漏洞，但這不代表你知道所有其他的缺陷、攻擊和其他特殊字符，你也不知道在文件寫入文件系統或數據庫時可能發生的代碼轉換。
解決方案和答案
為了解決這個問題，PHP中內置了一些特殊函數方法，只是為了在這種情況下使用。
basename()
第一個解決方案?---?basename()?它從路徑結束時提取路徑的一部分，直到它遇到第一個斜杠，但忽略字符串末尾的斜杠，參見示例。無論如何，你會收到一個安全的文件名。如果你覺得安全 - 那么是的這很安全。如果它被不法上傳利用 - 你可以使用它來校驗文件名是否安全。
realpath()
另一個解決方案?---?realpath()它將上傳文件路徑轉換規范化的絕對路徑名，從根開始，并且根本不包含任何不安全因素。它甚至會將符號鏈接轉換為此符號鏈接指向的路徑。
因此，您可以使用這兩個函數來檢查上傳文件的路徑。要檢查這個文件路徑到底是否真正屬于此文件夾路徑。
我的代碼
我編寫了一個函數來提供如上的檢查。我并不是專家，所以風險請自行承擔。代碼如下。

結語。

必須過濾用戶輸入，文件名也屬于用戶輸入，所以一定要檢查文件名。記得使用 basename() 。
必須檢查你想存放用戶文件的路徑，永遠不要將這個路徑和應用目錄混合在一起。文件路徑必須由某個文件夾的字符串路徑，以及 basename($filename) 組成。文件被寫入之前，一定要檢查最終組成的文件路徑。
在你引用某個文件前，必須檢查路徑，并且是嚴格檢查。
記得使用一些特殊的函數，因為你可能并不了解某些弱點或漏洞。
并且，很明顯，這與文件后綴或 mime-type 無關。JPEG 允許字符串存在于文件內，所以一張合法的 JPEG 圖片能夠同時包含合法的 PHP 腳本。

不要信任用戶。不要信任瀏覽器。構建似乎所有人都在提交病毒的后端。
當然，也不必害怕，這其實比看起來的簡單。只要記住 “不要信任用戶”  以及 “有功能解決此問題” 便可。
轉自 PHP / Laravel 開發者社區 https://laravel-china.org/top...