is_uploaded_file() 的安全作用

is_uploaded_file() 的安全作用非常关键，它的核心是防止路径伪造攻击（Path Traversal Attack）。以下通过原理、攻击场景和代码示例详细解释：

---

一、漏洞背景：为什么需要 is_uploaded_file()？

假设一个简单的文件上传逻辑如下：

// 用户上传文件后，将临时文件移动到指定目录
$tmp_path = $_FILES['file']['tmp_name'];
$target_path = "/var/www/uploads/" . $_FILES['file']['name'];
move_uploaded_file($tmp_path, $target_path);

看似正常，但存在严重安全隐患！

---

二、攻击者如何伪造路径？

1. 恶意用户构造的请求

攻击者可以手动伪造HTTP请求，直接指定 tmp_name 为敏感文件路径（如 /etc/passwd），而非真实的临时上传文件。例如：

POST /upload.php HTTP/1.1
Content-Type: multipart/form-data

--boundary
Content-Disposition: form-data; name="file"; filename="malicious.txt"
Content-Type: text/plain

<?php system($_GET['cmd']); ?>
--boundary--

但通过工具（如Burp Suite）篡改请求参数：

...
Content-Disposition: form-data; name="file"; filename="../../etc/passwd"  # 路径穿越
...

2. 攻击原理

• 如果代码未验证 tmp_name 的真实性，直接使用 move_uploaded_file($_FILES['file']['tmp_name'], ...)：
  • 攻击者可以将 tmp_name 设为 /etc/passwd，导致服务器将此敏感文件复制到公开目录。
  • 攻击者通过访问 http://site.com/uploads/../../etc/passwd 即可下载该文件。

---

三、is_uploaded_file() 的防御机制

1. 函数行为

• 验证逻辑：检查给定的文件路径（如 $_FILES['file']['tmp_name']）是否位于 PHP 的临时上传目录（如 /tmp/phpXXXXXX）。
• 底层原理：PHP 在接收上传文件时，会将其保存到 upload_tmp_dir 指定的目录，并生成唯一临时文件名。该函数通过验证文件路径是否属于此临时目录，确保文件确实是通过 HTTP POST 上传的。

2. 安全代码示例

// 正确的安全上传流程
if (isset($_FILES['file'])) {
    $tmp_path = $_FILES['file']['tmp_name'];
    $target_path = "/var/www/uploads/" . basename($_FILES['file']['name']);

    // 关键防御步骤！
    if (is_uploaded_file($tmp_path)) {
        move_uploaded_file($tmp_path, $target_path);
        echo "文件上传成功！";
    } else {
        die("非法文件来源！");
    }
}

---

四、攻击模拟与防御对比

场景1：未使用 is_uploaded_file()

• 攻击者输入：
  伪造 $_FILES['file']['tmp_name'] = '/etc/passwd'。
• 结果：
  move_uploaded_file() 仍会尝试移动该文件（若权限允许），导致 /etc/passwd 被复制到公开目录。

场景2：使用 is_uploaded_file()

• 攻击者输入：
  同样伪造 tmp_name = '/etc/passwd'。
• 验证过程：
  is_uploaded_file('/etc/passwd') 返回 false，因为该路径不在 PHP 的临时上传目录中。
• 结果：
  脚本终止执行，攻击失败。

---

五、深入技术细节

1. PHP 上传文件的内部流程

1. 用户上传文件时，PHP 将文件暂存到 upload_tmp_dir（默认 /tmp）。
2. 生成唯一的临时文件名（如 /tmp/php5e3d2b4）。
3. $_FILES['file']['tmp_name'] 的值只能是临时目录中的路径（无法被外部篡改）。

2. is_uploaded_file() 与 move_uploaded_file() 的关系

• move_uploaded_file() 内部自动调用 is_uploaded_file()，因此以下代码是冗余的：

  // 冗余写法（不推荐）
  if (is_uploaded_file($tmp_path)) {
      move_uploaded_file($tmp_path, $target_path);
  }
  

• 最佳实践：直接调用 move_uploaded_file()，因为它已包含安全检查：

  if (move_uploaded_file($tmp_path, $target_path)) {
      // 成功
  } else {
      // 失败（可能是伪造路径或权限问题）
  }
  

---

六、防御升级：多层级保护

即使使用 is_uploaded_file()，仍需其他防护措施：

1. 文件名过滤：

   $filename = $_FILES['file']['name'];
   if (preg_match('/\.\.|\/|\\/', $filename)) {
       die("文件名含非法字符！");
   }
   

2. 文件扩展名白名单：

   $allowed_ext = ['jpg', 'png'];
   $ext = strtolower(pathinfo($filename, PATHINFO_EXTENSION));
   if (!in_array($ext, $allowed_ext)) {
       die("文件类型不允许！");
   }
   

3. 存储目录权限隔离：

   chmod 700 /var/www/uploads  # 禁止直接通过URL访问
   

---

总结

is_uploaded_file() 是防御路径伪造攻击的第一道防线，确保只有通过合法 HTTP POST 上传的文件才能被处理。配合文件名过滤、扩展名检查和权限控制，可构建完整的文件上传安全体系。忽略此函数可能导致服务器敏感文件泄露，甚至远程代码执行（RCE）漏洞。