ユーザが投稿したデータ

多くの PHP のプログラムで最も脆弱な部分は、言語自体に起因するものではなく、単にセキュリティを考慮して書かれていないコードの問題です。そのため、指定したコードの部分の意味を常に時間をかけて吟味し、予想外の変数が投稿された場合に有り得る損害を確かめる必要があります。

例1 危険な変数の使用


<?php
// ユーザのホームディレクトリからファイルを削除します... または他の誰
// かのディレクトリかも?
unlink ($evil_var);

// 彼らのアクセスのログを書き込む.. または違うかも?
fputs ($fp, $evil_var);

// 何かちょっとしたことを実行.. または rm -rf *?
system ($evil_var);
exec ($evil_var);

?>

常に注意してコードをテストし、Webブラウザから投稿された全ての変数について次のような点を確認してください。

このスクリプトは、意図したファイルのみを受け付けるか?
例外的なまたは意図したもの以外のデータにより実行することが可能か?
このスクリプトは意図した以外の方法で使用することが可能か?
このスクリプトは、悪い意味で他のスクリプトと組み合わせて使用することが可能か?
トランザクションは適切に記録されているか?

スクリプトを書いた後ではなく、書いている時にこれらの質問を適宜行うことにより、セキュリティ改善のために不幸にして書き直しが必要になるということを避けることができます。こうした考慮をまず行うことにより、システムのセキュリティを保証できるわけではありませんが、改善の一助にはなりえます。

register_globals,magic_quotes, または他の便利な設定は、有効性、発信元、指定した変数の値について混乱を生じる可能性があるため、設定をオフにしたいと思うかもしれません。error_reporting(E_ALL) モードで PHPを動作させた場合、確認または初期化する前に使用された変数に関して警告を発生させることも可能です。(これにより、処理時に通常とは異なるデータを防止することが可能です)

NPO法人を設立専門事務所。特定非営利活動法人の略であるNPO法人を内閣府をはじめ全国都道府県対応で支援。

アルバイトをお探しならアルバイトスタイルへ。アルバイトを探したい方、アルバイトを探している方は必見です。

NPO法人をこれから設立したいとお考えなら自分で設立するNPO法人へ。都道府県ごとのNPO法人設立情報などを提供。NPO法人証明書も発行

株式会社をこれから設立したいとお考えなら会社設立webへ。都道府県ごとの会社設立専門家を紹介しております。

看護師・看護婦

看護師・看護婦のための転職・紹介。しばらく看護師として離れていたかたも

人材派遣・アルバイト紹介

人材派遣やアルバイト情報を集めました。