正文

PHP目录遍历漏洞原理与防御实战从代码到漏洞复现全流程

/0 浏览量
0905

说到安全漏洞，很多人第一反应是“黑客”、“黑客帝国”或者电影里那种敲键盘就黑进系统的酷炫场面。但现实中的Web安全往往没那么戏剧化，它更像是在看一栋房子的锁有没有生锈。今天咱们就聊聊PHP目录遍历漏洞（Directory Traversal），这个听起来很高大上，其实原理特别朴素，甚至有点可爱。

你可能会问：“我写的PHP代码，不就是处理一下用户上传的文件吗？怎么会遍历目录？” 别急，咱们先从最基础的代码看起，一步步拆解它是怎么“漏”的。

一、 什么是目录遍历？一个简单的例子

想象一下，你是一个文件服务器。用户想要看一张照片，于是给你一个请求：“请把 photos/vacation.jpg 给我。”

你的代码可能会这么写（典型的错误示范）：

<?php
// 这是一个存在漏洞的PHP脚本
$filename = $_GET['file'];
$filepath = 'uploads/' . $filename;

if (file_exists($filepath)) {
    readfile($filepath);
} else {
    echo "文件不存在";
}
?>

这段代码看着挺正常，对吧？它接收用户传来的 file 参数，拼上 uploads/ 前缀，然后读取文件。

但是，用户是不可信的。如果用户这么传参呢？

http://example.com/download.php?file=../../etc/passwd

当这段请求到来时，$filename 的值是 ../../etc/passwd。那么 $filepath 就变成了：

uploads/../../etc/passwd

在Linux系统中，.. 表示上一级目录。所以，这个路径最终会被解析为：

/etc/passwd

/etc/passwd 是Linux系统中存储用户账户信息的核心文件。如果你的PHP脚本运行在Linux服务器上，并且权限足够，这个请求就会把系统里所有用户的信息（包括用户名、UID、GID、家目录等）打印出来。

这就是目录遍历漏洞——攻击者通过构造特殊的 ../ 序列，绕过预期的目录限制，访问到服务器上的任意文件。

二、 漏洞为什么会存在？核心原理拆解

目录遍历漏洞的本质，是对用户输入缺乏信任，且对路径处理不当。我们可以从以下几个层面来理解：

1. 不信任用户输入

在Web开发中，一个黄金法则：永远不要信任来自用户的数据。$_GET、$_POST、$_COOKIE 中的所有数据，都可能是攻击者精心构造的。上面的例子中，直接将 $_GET['file'] 拼接到文件路径中，就是典型的不信任输入。

2. 路径解析的差异

不同的操作系统对路径的处理方式不同。在Windows中，../ 和 .. 可能不够用，攻击者还会使用：

  • ....// (绕过某些简单的过滤)
  • ..\ (Windows风格)
  • URL编码，如 %2e%2e%2f 表示 ../

PHP的 realpath() 函数会解析这些路径，最终得到真实的文件系统路径。如果代码没有对解析后的路径进行校验，漏洞就存在。

3. 文件包含函数的副作用

除了 readfile()、file_get_contents() 等文件读取函数，PHP中还有一些函数更容易被利用，比如：

  • include()、require()：包含并执行文件。如果包含的是一个恶意PHP文件，就可能导致远程代码执行（RCE），后果比单纯泄露文件严重得多。
  • include_once()、require_once()：同上。
  • highlight_file()、show_source()：高亮显示文件源码，帮助攻击者了解代码结构。
  • fpassthru()、fopen()：打开文件流，后续操作不当同样危险。

4. 过滤绕过技巧

初级开发者可能会尝试过滤 ../，比如：

// 糟糕的过滤
$filename = str_replace('../', '', $filename);

攻击者可以轻易绕过：

  • ....// 经过替换后变成 ../
  • %2e%2e%2f URL编码绕过
  • 大小写混淆：..//、..%2f 等

高级的过滤甚至会用正则表达式，但同样可能被绕过。因此，过滤不是正确的防御方式，而是应该使用白名单机制。

三、 漏洞复现：一步步动手实验

理论懂了，咱们来动手复现一下。这样你能更深刻地理解漏洞的形成过程。

环境准备

你需要一个可以运行PHP的环境，比如：

  • Docker + PHP镜像
  • 本地安装的 Apache/Nginx + PHP
  • 在线的CTF平台（如DVWA、bWAPP）

为了简单起见，我们用Docker跑一个最小的PHP环境。

创建一个 Dockerfile：

FROM php:8.1-apache
COPY index.php /var/www/html/index.php

创建 index.php（漏洞版本）：

<?php
header('Content-Type: text/html; charset=utf-8');
$filename = $_GET['file'] ?? '';
$filepath = '/var/www/uploads/' . $filename;

echo "<h2>文件内容：</h2>";
echo "<pre>";
if (file_exists($filepath)) {
    readfile($filepath);
} else {
    echo "文件不存在或路径无效";
}
echo "</pre>";
?>

创建 uploads 目录并放入一个测试文件：

mkdir uploads
echo "这是保密的文件内容" > uploads/secret.txt

运行容器：

docker build -t traversal-demo .
docker run -p 8080:80 traversal-demo

现在，用浏览器访问：

http://localhost:8080/index.php?file=secret.txt

你应该能看到“这是保密的文件内容”。

接下来，尝试遍历：

http://localhost:8080/index.php?file=../Dockerfile

如果成功，你会看到 Dockerfile 的源码。这说明攻击者可以读取服务器上的任意文件（只要PHP进程有权限）。

你可以尝试读取 /etc/passwd：

http://localhost:8080/index.php?file=../../etc/passwd

（注意：在Docker容器中，/etc/passwd 可能不存在或内容不同，但原理相同。在真实的Linux服务器上，这通常能成功。）

为什么能成功？

  1. $_GET['file'] 被直接拼接到路径中。
  2. ../ 被PHP的 file_exists 和 readfile 正确解析，指向了 uploads 目录之外的文件。
  3. 没有对最终路径进行任何校验。

四、 防御之道：如何彻底修复

知道了漏洞怎么来的，修复起来就很有针对性了。核心思想是：不要信任用户输入的路径，始终基于已知的安全路径进行操作。

防御方法1：白名单机制（最推荐）

与其尝试过滤坏字符，不如只允许用户访问特定的、已知的文件。

<?php
$allowed_files = ['secret.txt', 'document.pdf', 'image.jpg'];
$filename = $_GET['file'] ?? '';

if (in_array($filename, $allowed_files)) {
    readfile('/var/www/uploads/' . $filename);
} else {
    echo "非法请求";
}
?>

这种方法简单、有效，但缺点是如果文件很多，维护白名单会很麻烦。

防御方法2：规范路径并校验

即使使用动态路径，也要确保解析后的路径在预期目录下。

<?php
$base_dir = realpath('/var/www/uploads');
$filename = $_GET['file'] ?? '';
$filepath = realpath($base_dir . '/' . $filename);

if ($filepath && strpos($filepath, $base_dir) === 0) {
    readfile($filepath);
} else {
    echo "路径非法";
}
?>

关键点：

  • realpath() 解析所有 ../ 和符号链接，得到真实路径。
  • strpos($filepath, $base_dir) === 0 确保解析后的路径确实以 uploads 目录开头。

注意：strpos 返回0表示匹配成功（在开头），所以必须用 === 0 而不是 != false，否则当 $filepath 正好是 $base_dir 时会出现逻辑错误（虽然这种情况罕见）。

防御方法3：使用 open_basedir 配置

在PHP配置中设置 open_basedir，限制PHP脚本只能访问指定目录。

; php.ini 或 .htaccess
open_basedir = /var/www/uploads:/tmp

这样，即使代码中有漏洞，PHP也会阻止访问 open_basedir 之外的文件。但这只是纵深防御的一部分，不能完全依赖它，因为配置错误或被绕过时仍有风险。

防御方法4：避免直接拼接用户输入

使用更安全的API，比如 splFileInfo 类来操作文件，而不是直接拼接路径。

<?php
$base_dir = new DirectoryIterator('/var/www/uploads');
$filename = $_GET['file'] ?? '';

foreach ($base_dir as $file) {
    if ($file->getFilename() === $filename) {
        readfile($file->getPathname());
        exit;
    }
}
echo "文件不存在";
?>

这种方法通过遍历已知目录来匹配文件名，从根本上避免了路径拼接。

五、 高级绕过技巧与对抗（知己知彼）

为了让你更深入理解，咱们看看攻击者可能使用的绕过技巧，这样你才能更好地防御。

1. 双URL编码

http://example.com/download.php?file=%252e%252e%252f%252e%252e%252fetc%252fpasswd

先对 % 进行URL编码（%25），服务器解码两次后变成 ../../etc/passwd。

2. 空字节注入（旧版本PHP）

在PHP 5.3.4之前，字符串中的空字节（\0）会被截断。

http://example.com/download.php?file=../../etc/passwd%00.jpg

如果后端代码先检查扩展名，可能会绕过。

3. 利用文件系统特性

  • Windows中：..//、.\..\..\
  • Linux中：./../、%2e%2e/

4. 绕过白名单正则

如果白名单是简单的正则，比如 /^[a-zA-Z0-9_-]+$/，攻击者可能利用其他字符绕过，或者通过包含点号（.）来构造文件名。

记住：防御的关键不是“过滤掉坏字符”，而是“只允许好字符”。

六、 实战中的检测与扫描

在实际渗透测试中，如何快速发现目录遍历漏洞？

1. 手动测试

  • 在参数后添加 ../，看是否有响应变化。
  • 尝试读取 /etc/passwd、/etc/shadow、web.config、wp-config.php 等敏感文件。
  • 使用Burp Suite的Intruder模块，自动化 fuzzing 各种路径。

2. 使用工具

  • Burp Suite：Repeater和Intruder模块可以方便地测试路径遍历。
  • Nikto：Web服务器扫描器，能检测常见的目录遍历漏洞。
  • Dirb/Dirbuster：主要用于目录枚举，但也可以辅助测试。
  • OWASP ZAP：开源的渗透测试工具，有自动扫描功能。

3. 代码静态分析

使用工具如 PHPStan、Psalm 或商业的 Veracode、Checkmarx，可以扫描源码中的不安全路径操作。

七、 总结与最佳实践

目录遍历漏洞虽然原理简单，但在实际中依然常见，尤其是当开发者为了图方便，直接将用户输入拼接到文件路径时。

记住以下几点：

  1. 永远不要信任用户输入。所有来自 $_GET、$_POST 等的数据都可能是恶意的。
  2. 使用白名单机制。只允许访问已知的、预期的文件。
  3. 规范路径并校验。使用 realpath() 解析路径，并校验其是否在预期目录下。
  4. 最小权限原则。PHP进程运行的用户应该只有访问必要文件的权限，不要以root身份运行。
  5. 启用 open_basedir。作为纵深防御的一部分。
  6. 定期安全审计。使用静态分析工具和渗透测试工具检查代码。

最后，想对初学者说：安全不是一门玄学，它是对细节的关注和对用户输入的尊重。每一次代码Review，每一次对“这不可能”的怀疑，都可能帮你堵住一个真实的漏洞。希望这篇文章能帮你彻底理解PHP目录遍历漏洞，并在以后的开发中写出更安全的代码。

如果你在复现过程中遇到问题，或者想深入探讨其他类型的漏洞，随时可以问我。安全之路，咱们一起走。

-- 展开阅读全文 --