如何在本PHP代码中防止本地文件下载？

Question

我有这样的PHP代码：

<?php 

header("Content-Type: application/force-download"); 
header("Content-Disposition: attachment; filename=\"".$_GET['name']."\""); 
$file_content = file_get_contents($_GET['name']); 
echo $file_content; 

?> 

在这种情况下，攻击者可以申请在我的网站上下载文件：

localhost/file.php?name=../../../../../../../etc/passwd

我需要一种方法来防止用户下载任何东西从当前目录中除去.zip文件。

Answer 1

在打开文件之前，您应该检查$_GET['name']的内容是否合法。

特别是，在你的情况，请检查：

• 它.zip
• 它不包含一个NULL字节，以防止过早终止字符串结尾（见Null bytes related issues）
• 它不包含路径分隔符（/和\）。

下面是一个例子：

$filename = $_GET['name']; 
if (strpos($filename, "\0") !== false) { 
    // contains NUL byte 
} else if (substr(strtolower($filename), -4) !== '.zip') { 
    // doesn’t end with ".zip" 
} else if (basename($filename) !== $filename) { 
    // contains path separator 
} else if (!is_file($filename)) { 
    // file does not exist 
} else { 
    // everything is fine 
}