Mark ChangMark Chang
首先,先來用例子說明何謂「相對路徑」何謂「絕對路徑」。

例如你有一個網址為http://www.demo.com

而在程式碼中你想要呼叫一個在http://www.demo.com/css/style.css 檔案

一般相對路徑的寫法會是:
include('css/style.css')//表示在css子目錄下的style.css檔案
//另外相對路徑的表現方式還有用「.」代表目前所在目錄,用「..」代表上一層目錄。

而絕對路徑的寫法則會是:
include('/css/style.css')//表示在本機www底下的css子目錄下的style.css檔案

不知道絕對路徑?
php取得絕對路徑的作法可以使用:
dirname(__FILE__)
echo __FILE__ ; // 取得當前文件的絕對地址
echo dirname(__FILE__); // 取得當前文件所在的絕對目錄
echo dirname(dirname(__FILE__)); //取得當前文件的上一層目錄名

所以該怎麼寫才能防止RPO(Relative Path Overwrite)相對路徑覆蓋攻擊呢?

解決方式就是別再使用相對路徑了......。
以後呼叫js、css或插入連結圖片及檔案從此不要再使用相對路徑。

另外也順便將iframe設定成「header("X-Frame-Options: DENY")」。

順便也過濾一些危險符號,例如「%2F」轉換成「/」...等。

說真的我是第一次遇到這樣的資安疑慮。

以往為了專案系統能夠順利移機到客戶端主機,基本上都會使用相對路徑的方式撰寫。

不管要include css 或者js。

以往也不曾被弱點掃描掃到有資安疑慮,這樣的撰寫模式也就沿用至今,直到這次被掃到弱點.......。

作者簡介

Mark Chang

離不開電腦的宅男

訪客留言

留下一些足跡證明你來拜訪過我

推薦閱讀

作者其他相關類別故事

CSS3濾鏡Filter的十種特效

CSS3濾鏡Filter的十種特效

CSS 濾鏡效果 Filters 主要是運用在圖片上,以實現一些特效。...

修改php設定

修改php設定

pexelsphoto 進入系統 用文字編輯軟體打開php.ini改變以下設定...

使用curl執行POST請求

使用curl執行POST請求

curl命令是一個利用URL規則在命令行下工作的文件傳輸工具。 支持文件的上傳和下載。...

請選擇選項

執行錯誤

Hi,謝謝你的參與,但無法重複投票哦~

現在就加入innstory,開始紀錄你的故事。

「innstory」是一個儲存故事的地方,我們致力於成為一個有溫度的平台,加深人與人之間的羈絆是我們所努力的方向。
我們深信人與人間的區塊鏈不是只是冷冰冰的運算。現在就加入我們。