PHP’de Yol Geçişi — ../ ile Uygulamanızı Nasıl Aşarsınız

<p>Bu, PHP ve Laravel uygulama güvenliği üzerine bir dizi makalenin sekizincisi.</p>

<p>Şu ana kadar şunları ele aldık:</p>

<ul>
    <li>PHP günlüklerinde SQL enjeksiyon girişimlerini tespit etmek</li>
    <li>URL kodlamasının neden çoğu PHP güvenlik kontrolünü körleştirdiği</li>
    <li>Sonsuz URL çözme ile ilgili kod çözme bombası problemi</li>
    <li>Parametreleştirilmiş sorguların SQL enjeksiyonuna yönelik tek gerçek çözüm olduğu</li>
    <li>Laravel'de XSS önleme ve <code>{!! !!}</code> güvenli ve hacklenmiş arasındaki çizgi</li>
    <li>Saldırganların uygulamanızı nasıl keşfettiği ve bunun nasıl istismar edilebileceği</li>
    <li>Dosya yükleme güvenliği - sahte dosya</li>
</ul>

<p>Bu serideki her makale aynı prensibi takip ediyor - saldırıyı anlamadan onu durdurmaya çalışmayın.</p>

<p>Path traversal (yol geçişi) da bunun dışında değil. PHP uygulamalarında en sessiz tehlikeli güvenlik açığından biridir çünkü tamamen meşru görünen özelliklerin arkasında gizlenir: dosya indirme, şablon yükleme, doküman görüntüleyicileri.</p>

<h3>Path Traversal Nedir?</h3>

<p>Path traversal, bir saldırganın dosya yolunu manipüle ederek uygulamanızın sunmayı hedeflediği dizin dışındaki dosyalara erişim sağladığı bir saldırıdır.</p>

<p>Saldırı, <code>../</code> kullarak, herhangi bir işletim sisteminde "bir üst dizine çık" anlamına gelir. Birden fazla <code>../</code> sırasını zincirleme kullanarak, bir saldırgan dizin ağacında yukarı doğru tırmanarak uygulamanızın asla erişmemesi gereken dosyalara ulaşabilir.</p>

<p>Bu saldırının gerçekleştirilebilmesi için bir giriş yapmaya ihtiyaç yoktur. Özel araçlar gerektirmez. Sadece bir sağlanmamış dosya yoluna ve bir tarayıcıya ihtiyaç vardır.</p>

<h3>Saldırı Sade Bir Dille</h3>

<p>Uygulamanızın bir dosya indirme özelliği var:</p>
<div class="highlight js-code-highlight">
    <pre class="highlight php"><code>$filename = $_GET['file'];

<p>Meşru bir kullanıcı gönderir:</p>
<div class="highlight js-code-highlight">
    <pre class="highlight plaintext"><code>file=document1.pdf</code></pre>
</div>

<p>Yol şu şekilde olur:</p>
<div class="highlight js-code-highlight">
    <pre class="highlight plaintext"><code>/var/www/storage/files/document1.pdf</code></pre>
</div>

<p>Temiz. Beklenilen. Güvenli.</p>

<p>Bir saldırgan gönderir:</p>
<div class="highlight js-code-highlight">
    <pre class="highlight plaintext"><code>file=../../config/database.php</code></pre>
</div>

<p>Yol şu şekilde olur:</p>
<div class="highlight js-code-highlight">
    <pre class="highlight plaintext"><code>/var/www/storage/files/../../config/database.php</code></pre>
</div>

<p>Ve bunun sonucu:</p>
<div class="highlight js-code-highlight">
    <pre class="highlight plaintext"><code>/var/www/config/database.php</code></pre>
</div>

<p>Veritabanı kimlik bilgileriniz sunucudan dışarı çıktı.</p>

<h3>Daha Üst Düzene Tırmanma</h3>

<p>Bir saldırgan uygulama dizininizle kalmaz. Daha da yükseğe tırmanır:</p>
<div class="highlight js-code-highlight">
    <pre class="highlight plaintext"><code>file=../../../etc/passwd</code></pre>
</div>

<p>Bu, şu şekilde çözülür:</p>
<div class="highlight js-code-highlight">
    <pre class="highlight plaintext"><code>/etc/passwd</code></pre>
</div>

<p>Unix benzeri sistemlerde, <code>/etc/passwd</code> genellikle herkesin okuyabileceği bir dosyadır ve yerel kullanıcı hesaplarını listeler. Buradan bir saldırgan, kullanıcıları eşleyebilir, yetki seviyelerini tanımlayabilir ve sonraki adımlarını planlayabilir.</p>

<p>Daha tehlikeli hedefler:</p>
<div class="highlight js-code-highlight">
    <pre class="highlight plaintext"><code>../../../var/www/.env — Laravel ortam dosyanız

<p>Bunların her biri başlı başına tam bir ihlaldir.</p>

<h3>Saldırganların Temel Filtreleri Nasıl Aştığı</h3>

<p>URL kodlaması hakkında bildiğiniz gibi, saldırganlar bunu burada da kullanır.</p>

<p>Basit bir filtre <code>../</code> dize üstünü temizliyorsa hemen aşılar:</p>
<div class="highlight js-code-highlight">
    <pre class="highlight php"><code>// Bu başarısız

<p>Bir saldırgan <code>....//</code> gönderirse. Orta bölümden <code>../</code> kaldırdığınızda, geriye <code>../</code> kalır. Saldırı yine başarılı olur. Filtre hiçbir şeyden korumadı.</p>

<p>Kodlanmış varyasyonlar ise <code>strpos</code> kontrollerini geçer:</p>
<div class="highlight js-code-highlight">
    <pre class="highlight plaintext"><code>%2e%2e%2f       — URL kodlu ../

<p>Literali kontrol eden bir kontrol, bunların hiçbiriyle karşılaşamaz. Bu nedenle, dize tabanlı filtreler her zaman yol geçişine karşı başarısız olur; çünkü bunlar yalnızca temsilleri karşılaştırır, yolun gerçekte neye çözüleceğini değil.</p>

<h3>Path Traversal için En Savunmasız Dört PHP Fonksiyonu</h3>

<strong>1. readfile()</strong><br/>
<div class="highlight js-code-highlight">
    <pre class="highlight php"><code>readfile('/var/www/storage/files/' . $_GET['file']);</code></pre>
</div>

<p>Doğrudan dosya içeriğini okur ve çıktılar. Bir saldırgan web sunucusu kullanıcısının erişim iznine sahip olduğu herhangi bir dosyayı okuyabilir.</p>

<strong>2. file_get_contents()</strong><br/>
<div class="highlight js-code-highlight">
    <pre class="highlight php"><code>$content = file_get_contents('/var/www/templates/' . $_GET['template']);</code></pre>
</div>

<p>Dosya içeriğini bir dize olarak döndürür. Aynı risk vardır; sistemdeki okunabilir herhangi bir dosyaya erişilebilir.</p>

<strong>3. include() ve require()</strong><br/>
<div class="highlight js-code-highlight">
    <pre class="highlight php"><code>include('/var/www/views/' . $_GET['page'] . '.php');</code></pre>
</div>

<p>En tehlikeli durumdur. Sadece dosyaları okuma değil, eğer php kodunu okunabilir bir dosyaya yerleştirirlerse ve bu dosya eklenirse, uzak kod çalıştırma elde ederler. Bu zincirleme saldırı, yerel dosya dahil etme (Local File Inclusion) olarak adlandırılır ve okunabilen bir açığı tam bir sunucu ele geçirmeye dönüştürür.</p>

<strong>4. fopen()</strong><br/>
<div class="highlight js-code-highlight">
    <pre class="highlight php"><code>$handle = fopen('/var/www/uploads/' . $_GET['filename'], 'r');</code></pre>
</div>

<p>Okumak için bir dosya tanıtıcısı açar. <code>readfile()</code> ile aynı risk.</p>

<h3>Path Traversal ve Local File Inclusion</h3>

<p>Bu iki terim ilişkilidir ama farklı seviyelerdeki ciddiyetleri tanımlar.</p>

<p><strong>Path traversal</strong>, bir dosya dizininiz dışında dosyaları okuma yeteneğidir. Saldırgan <code>.env</code> dosyanızı, veritabanı yapılandırmanızı, SSH anahtarlarınızı okur. Ciddi zarar. Gizli veriler açığa çıkar.</p>

<p><strong>Local File Inclusion</strong>, path traversal'ın <code>include()</code> veya <code>require()</code> ile birleştirilmesidir. Saldırgan sadece dosyaları okumakla kalmaz, PHP kodunu çalıştırırlar. Bu, kötü bir açığı tam bir sunucu ele geçirmeye dönüştürür.</p>

<p>LFI saldırı zinciri şu şekilde işler:</p>

<p>Saldırgan, sunucu günlüklerini kullanıcı-Agent başlıklarını bilir. Onlar, isteği bir PHP yükü ile gönderir:</p>
<div class="highlight js-code-highlight">
    <pre class="highlight php"><code>User-Agent: <?php system($_GET['cmd']); ?></code></pre>
</div>

<p>Bu, sunucu erişim günlüğünüze aşağıdaki gibi yazılır:</p>
<div class="highlight js-code-highlight">
    <pre class="highlight plaintext"><code>/var/log/apache2/access.log</code></pre>
</div>

<p>Şimdi path traversal kullanarak günlük dosyasını dahil ederler:</p>
<div class="highlight js-code-highlight">
    <pre class="highlight plaintext"><code>page=../../../var/log/apache2/access.log</code></pre>
</div>

<p>Sunucunuz, günlüğe yazılmış PHP kodunu çalıştırır. Bunun başarılı olup olmadığı; sunucu yapılandırmasına, günlük dosyası izinlerine ve uygulamanın dosyayı nasıl dahil ettiğine bağlıdır.</p>

<p>Bu nedenle <code>include()</code> ile kullanıcı kontrolündeki girişlerin kullanılması PHP'deki en tehlikeli desenlerden biridir. Path traversal dosyaları okur. LFI çalıştırır.</p>

<h3>Yanlış Çözümler</h3>

<strong>Yanlış çözüm 1 — <code>../</code>'yı temizleme:</strong><br/>
<div class="highlight js-code-highlight">
    <pre class="highlight php"><code>$filename = str_replace('../', '', $_GET['file']);</code></pre>
</div>

<p>Bir saldırgan <code>....//</code> gönderdiğinde. <code>../</code>'yı temizledikten sonra <code>../</code> bileşeni kalır. Atlama gerçekleşir.</p>

<strong>Yanlış çözüm 2 — <code>../</code>'yi kontrol etmek için <code>strpos</code> kullanma:</strong><br/>
<div class="highlight js-code-highlight">
    <pre class="highlight php"><code>if (strpos($_GET['file'], '../') !== false) { exit('Invalid path'); }</code></pre>
</div>

<p>Bir saldırgan <code>%2e%2e%2f</code> gönderirse, kontrolünüz asla <code>../</code>'i göremez. Atlama gerçekleşir.</p>

<strong>Yanlış çözüm 3 — yalnızca <code>basename()</code> kullanma:</strong><br/>
<div class="highlight js-code-highlight">
    <pre class="highlight php"><code>$filename = basename($_GET['file']);

readfile(‘/var/www/storage/files/’ . $filename);