Web 文件操作常見安全漏洞：目錄遍歷與空字節截斷攻擊

為何過濾/替換不可靠

• str_replace 只替換一次，多層嵌套可繞過（如 ....// → ../）。
• 黑名單思維永遠跟不上繞過技巧（編碼、大小寫、雙重編碼、Unicode 正規化等）。
• 同樣問題存在於 XSS 過濾（如 javascript 替換可被 jjavascriptavascript 繞過）。

正確防禦：白名單驗證

方法一：枚舉值白名單

$mod = isset($_GET['m']) ? trim($_GET['m']) : 'index';
$allowed = array('user', 'index', 'add', 'edit');
if (!in_array($mod, $allowed)) { exit('err!!!'); }

方法二：字元集白名單（正則）

$mod = isset($_GET['m']) ? trim($_GET['m']) : 'index';
if (!preg_match('/^\w+$/', $mod)) { exit('err!!!'); }

僅允許字母、數字、底線，徹底杜絕目錄遍歷、空字節、路徑分隔符等危險字元。

核心原則

1. 已知即允許，未知即拒絕：白名單驗證輸入符合預期格式，而非嘗試過濾已知惡意模式。
2. 參數化/預處理：資料庫查詢用預處理，檔案路徑用 basename() + 白名單，命令執行用 escapeshellarg()。
3. 最小權限：Web 進程以低權限用戶運行，禁用不必要的 PHP 函數（exec, include 等）。

延伸建議

• 升級 PHP 5.3.4+ 可免疫空字節截斷（%00 在檔案函數中不再生效）。
• 使用 open_basedir 限制 PHP 可存取的目錄範圍。
• 採用現代框架（Laravel, Symfony 等）內建的路由與視圖機制，避免手動拼接檔案路徑。

安全防禦的核心在於「簡單、嚴格、可驗證」的白名單邏輯，而非複雜易繞過的黑名單替換。