PHP：如果您使用preg_replace只允许以下-A-Za-z0-9_，则包含基于GET变量的文件是否安全？

Question

这有多安全？

   if (isset($_GET["var"]) && file_exists("path/".$_GET["var"].".php")) { 
        include("path/".$_GET["var"].".php");
    } else {  
        echo 'File Does Not Exist!';   
    }

我想知道是否需要对$ _GET [“ var”]进行“清理”，而不是让它在尝试包含或不包含file_exists函数之前运行。 这很危险吗？

+++更新+++

谢谢大家的回应！ 请参阅下面的更新...

function mrClean($var) {
$clean_var = (isset($var) && !empty($var)) ? $var : 'index';
$clean_var = preg_replace('/[^-A-Za-z0-9_]/', '', $clean_var);
return $clean_var;
}

$var = mrClean($_GET["var"]);

if (file_exists("path/".$var.".php")) { 
  include("path/".$var.".php");
} else {  
  echo 'File Does Not Exist!';   
}

当我调用mrClean替换所有内容时，但以下各项除外：

-AZ az 0-9 _通过preg_replace

...现在将其视为安全的吗？ 有什么可以添加以使其更安全的东西吗？

我将按照建议实施白名单...但还有其他内容吗？

谢谢！！

-安德鲁

Answer 1

您不想这样做。

假设我在/ var / www / test中运行index.php，而其中的内部是path（因此/ var / www / test / path exsts）

如果我问这个问题-file_exists（'path /../../../../ etc / nginx / sites-available / default.php'）

答案是肯定的

即/etc/nginx/sites-available/default.php中的文件确实存在。 我所做的只是将$ _GET ['var']传递为“ ../../../../etc/nginx/sites-available/default”

因此，现在您已经要求网络服务器将一些随机文件包含到您的页面中。

现在-我们在这里必须注意，根据权限，操作系统等的不同，这可能无法正常工作。 但总的来说，您不希望这样做-漫长的路要走，如果if语句/ switch语句的内容放到包含。

您可以尝试通过删除字符等来确保输入的安全性。但是最后，一个错误将使您浪费整个文件系统-不值得！

Answer 2

是的，问题更新中的正则表达式替换是SAFE。 但是请注意，任何include都是危险的，并且是否允许用户包括一些不安全的脚本。