え？ PHPファイルを登録できるのはまずいでしょ…… Webアプリの「アップロード機能」に潜む“あるある”ワナ

え？ PHPファイルを登録できるのはまずいでしょ…… Webアプリの「アップロード機能」に潜む“あるある”ワナ：“典型的やられサイト”で学ぶセキュリティのワナ（1/3 ページ） ネット上で商売するのが当たり前な時代。自社でWebサイトやWebアプリを抱える企業も相当な数になっている。そこでインシデントが発生すれば信用、ブランド、収益……失うものは計り知れない。 本連載では情報セキュリティの専門家・徳丸浩さんが制作した脆弱性診断実習用のWebアプリ「BadTodo」を題材に、ストーリー形式でWebアプリ制作に潜む“ワナ”について学んでいく。 登場人物は全て架空の存在だが、ワナは全て現実にあり得るもの。せりふは徳丸さんの監修の下制作した。 カクーノ株式会社：Webアプリ開発を手掛ける企業。本記事に登場する企業・団体及び人物は全て架空の存在である。 荒井考人（あらいこうと）：入社したばかりの新人

[bikeshed]

id:txjp PHPは実行権限がなくても実行される。実行権限が必要なのはCGI

[fai_fx]

アップロード自体は何でも出来て、拡張子が望ましくないモノには余分に .txt や .bin を追加するのが好き。

[sora_h]

Content-Type などどう配信するかを制御することのほうが大事だと思うんだけど、ユーザー入力値に変わりないし

[a-arua]

アップロードできるファイルには制限をかける。phpだけでなくマクロが仕込まれているものにも注意が必要。

[defiant]

この記事をおすすめしました

[Chron]

下の "PHPは実行権限がなくても実行される" は、もしWebサーバがApacheだとして、Apacheでphp_moduleが有効になっていればPHPファイルに実行権限（"x"）が付与されていなくても呼び出されちゃえば実行されちゃうってことかな？

[SPIRIT_PHOENIX]

はえ〜

[txjp]

なんで実行権限がつけられてるの

[nmcli]

アップロードされたファイルをどこまで信頼するかは Web アプリ構築におけるかなり基本的な部分だ