PHP: normalize Pfad von nicht existierenden Verzeichnissen, um Directory Traversals zu verhindern?

Question

Ich möchte einen Pfad von einer externen Ressource normalisieren, um Directory Traversal-Angriffe zu verhindern. Ich weiß über die realpath() Funktion, aber leider diese Funktion gibt nur den Pfad der vorhandenen Verzeichnisse zurück. Wenn also das Verzeichnis (noch) nicht existiert, schneidet die Funktion realpath() den gesamten Teil des Pfades ab, der nicht existiert.

Also meine Frage ist: Kennen Sie eine PHP-Funktion, die nur den Pfad normalisiert?

PS: Ich weiß nicht auch alle möglichen Verzeichnisse im Voraus erstellt werden soll ;-)

Answer 1

Es gibt keine PHP-Funktion eingebaute in dieser für. Verwenden Sie so etwas wie die folgenden statt:

function removeDots($path) { 
    $root = ($path[0] === '/') ? '/' : ''; 

    $segments = explode('/', trim($path, '/')); 
    $ret = array(); 
    foreach($segments as $segment){ 
     if (($segment == '.') || strlen($segment) === 0) { 
      continue; 
     } 
     if ($segment == '..') { 
      array_pop($ret); 
     } else { 
      array_push($ret, $segment); 
     } 
    } 
    return $root . implode('/', $ret); 
} 

Answer 2

Dank Benubird/Cragmonkey mich korrigiert, dass meine Antwort unter einer gewissen Situation nicht funktioniert hat. so mache ich einen neuen, für den ursprünglichen Zweck: Führen Sie gut, weniger Linien und mit reinem regulärem Ausdruck:

Dieses Mal, wenn ich, wie unten mit vielen strengen Testfall getestet.

$path = '/var/.////./user/./././..//.//../////../././.././test/////'; 

function normalizePath($path) { 
    $patterns = array('~/{2,}~', '~/(\./)+~', '~([^/\.]+/(?R)*\.{2,}/)~', '~\.\./~'); 
    $replacements = array('/', '/', '', ''); 
    return preg_replace($patterns, $replacements, $path); 
} 

Die richtige Antwort wäre/test/sein.

Nicht gemeint Wettbewerb zu tun, aber Performance-Test ist ein Muss:

Testfall: for-Schleife 100k mal auf einem Windows 7, i5-3470 Quad Core, 3,20 GHz.

mein: 1,746 Sekunden.

Tom Imrei: 4,548 Sekunden.

Benubird: 3,593 Sek.

Ursa: 4,334 Sekunden.

Es bedeutet nicht, dass meine Version immer besser ist. In einigen Situationen verhalten sie sich ähnlich.

Answer 3

Ich denke Tamas Lösung wird funktionieren, aber es ist auch möglich, es mit Regex zu tun, die weniger effizient sein kann, aber sieht besser aus. Vals Lösung ist falsch; aber dieses funktioniert.

function normalizePath($path) { 
    do { 
     $path = preg_replace(
      array('#//|/\./#', '#/([^/.]+)/\.\./#'), 
      '/', $path, -1, $count 
     ); 
    } while($count > 0); 
    return $path; 
} 

Ja, es nicht alle möglichen verschiedenen Codierungen von ./ \ usw. handhaben, dass es sein kann, aber das ist nicht der Zweck davon; Eine Funktion sollte nur eine Sache ausführen. Wenn Sie also auch %2e%2e%2f in ../ konvertieren möchten, führen Sie sie zuerst durch eine separate Funktion aus.

Realpath löst auch symbolische Links auf, was natürlich unmöglich ist, wenn der Pfad nicht existiert; aber wir können die zusätzlichen Zeichen '/./', '/../' und '/' entfernen.

Answer 4

Strenge, aber sichere Implementierung. Wenn Sie nur ASCII für Dateinamen verwenden, wäre es geeignet:

/** 
* Normalise a file path string so that it can be checked safely. 
* 
* @param $path string 
*  The path to normalise. 
* @return string 
* Normalised path or FALSE, if $path cannot be normalized (invalid). 
*/ 
function normalisePath($path) { 
    // Skip invalid input. 
    if (!isset($path)) { 
    return FALSE; 
    } 
    if ($path === '') { 
    return ''; 
    } 

    // Attempt to avoid path encoding problems. 
    $path = preg_replace("/[^\x20-\x7E]/", '', $path); 
    $path = str_replace('\\', '/', $path); 

    // Remember path root. 
    $prefix = substr($path, 0, 1) === '/' ? '/' : ''; 

    // Process path components 
    $stack = array(); 
    $parts = explode('/', $path); 
    foreach ($parts as $part) { 
    if ($part === '' || $part === '.') { 
     // No-op: skip empty part. 
    } elseif ($part !== '..') { 
     array_push($stack, $part); 
    } elseif (!empty($stack)) { 
     array_pop($stack); 
    } else { 
     return FALSE; // Out of the root. 
    } 
    } 

    // Return the "clean" path 
    $path = $prefix . implode('/', $stack); 
    return $path; 
} 

Answer 5

Meine 2 Cent.Die regexp ist nur für leere Blöcke Pfad verwendet:

<?php 
echo path_normalize('/a/b/c/../../../d/e/file.txt'); 

echo path_normalize('a/b/../c'); 

echo path_normalize('./../../etc/passwd'); 

echo path_normalize('/var/user/.///////././.././.././././test/'); 

function path_normalize($path){ 
    $path = str_replace('\\','/',$path); 
    $blocks = preg_split('#/#',$path,null,PREG_SPLIT_NO_EMPTY); 
    $res = array(); 

    while(list($k,$block) = each($blocks)){ 
     switch($block){ 
      case '.': 
       if($k == 0) 
        $res = explode('/',path_normalize(getcwd())); 
      break; 
      case '..'; 
       if(!$res) return false; 
       array_pop($res); 
      break; 
      default: 
       $res[]=$block; 
      break; 
      } 
     } 
    return implode('/',$res); 
    } 
?>