Загрузка файлов без веб-шелла: защита upload-формы

Загрузка файла превращается в уязвимость не в тот момент, когда сервер принимает расширение .php, а раньше: когда приложение доверяет имени, MIME-типу или каталогу хранения. Ниже — практическая схема для PHP 8.3+ и обычного веб-приложения: как принимать файлы, где их хранить, что проверять и почему одного запрета на .php недостаточно.

Сначала уберите файл из зоны исполнения

Главное правило — пользовательский файл не должен лежать в каталоге, из которого веб-сервер может выполнить скрипт. Лучше хранить загрузки за пределами document root, например в /srv/app-storage/uploads, а скачивание отдавать через контроллер приложения. Тогда даже файл с содержимым PHP не получает прямого URL для исполнения.

Если файл должен быть доступен по прямой ссылке, настройте отдельный каталог так, чтобы сервер отдавал его только как данные. Конкретная конфигурация зависит от Nginx, Apache, PHP-FPM и способа деплоя; проверяйте её на тестовом стенде запросом к файлу с расширением, которое ваш сервер обычно исполняет. Важна не запись «запретить PHP», а подтверждение, что сервер действительно возвращает файл или отказ, но не запускает интерпретатор.

Самая надёжная проверка upload-системы — не вопрос «какое расширение разрешено», а вопрос «может ли загруженный байт-код попасть в цепочку исполнения».

Что проверять до сохранения

Проверки должны идти в несколько слоёв. Имя файла от пользователя нельзя использовать как имя на диске: в нём могут быть управляющие символы, неожиданные расширения и попытки обойти нормализацию пути. Сгенерируйте собственное имя, например случайный идентификатор, а исходное имя сохраните только как метаданные после очистки.

1. Проверьте ошибку загрузки. В PHP поле error должно быть равно UPLOAD_ERR_OK. Иначе файл мог не загрузиться полностью или превысить лимит запроса.
2. Ограничьте размер. Проверяйте его в приложении и согласуйте лимиты формы, PHP и веб-сервера. Иначе пользователь увидит отказ на другом слое и не поймёт причину.
3. Определите MIME по содержимому. Значение заголовка Content-Type приходит от клиента и не считается доказательством.
4. Сопоставьте MIME с разрешённым расширением. Расширение генерируйте сами, а не берите из оригинального имени.
5. Проверьте формат специализированным парсером. Для изображения одного MIME мало: декодируйте файл библиотекой изображений, проверьте размеры и при необходимости пересохраните его.
6. Переместите файл атомарно и зафиксируйте результат. В базе храните внутренний идентификатор, MIME, размер, хеш и статус проверки, но не используйте пользовательское имя в пути.

Минимальная проверка в PHP 8.3+

Фрагмент ниже проверяет обычную загрузку через multipart/form-data, размер, реальный MIME и перемещает файл в каталог вне document root. Это не универсальный валидатор изображений, PDF или архивов: для таких форматов нужен отдельный парсер.

<?php

function saveUploadedDocument(array $file, string $storageDirectory): array
{
    $allowedTypes = [
        'application/pdf' => 'pdf',
        'image/jpeg' => 'jpg',
        'image/png' => 'png',
    ];
    $maximumSize = 10 * 1024 * 1024;

    if (($file['error'] ?? UPLOAD_ERR_NO_FILE) !== UPLOAD_ERR_OK) {
        throw new RuntimeException('Файл не загрузился');
    }

    if (!isset($file['tmp_name'], $file['size']) || !is_uploaded_file($file['tmp_name'])) {
        throw new RuntimeException('Некорректный временный файл');
    }

    if ($file['size'] < 1 || $file['size'] > $maximumSize) {
        throw new RuntimeException('Недопустимый размер файла');
    }

    $fileInfo = finfo_open(FILEINFO_MIME_TYPE);
    if ($fileInfo === false) {
        throw new RuntimeException('Не удалось определить MIME-тип');
    }

    $mimeType = finfo_file($fileInfo, $file['tmp_name']);
    finfo_close($fileInfo);

    if (!is_string($mimeType) || !isset($allowedTypes[$mimeType])) {
        throw new RuntimeException('Недопустимый формат файла');
    }

    $storedName = bin2hex(random_bytes(16)) . '.' . $allowedTypes[$mimeType];
    $storedPath = rtrim($storageDirectory, DIRECTORY_SEPARATOR)
        . DIRECTORY_SEPARATOR . $storedName;

    if (!move_uploaded_file($file['tmp_name'], $storedPath)) {
        throw new RuntimeException('Не удалось сохранить файл');
    }

    return [
        'name' => $storedName,
        'mime' => $mimeType,
        'size' => (int) $file['size'],
    ];
}

Путь $storageDirectory должен существовать, принадлежать пользователю процесса PHP и находиться вне публичного каталога. Перед использованием добавьте авторизацию, CSRF-защиту и проверку того, кому принадлежит загружаемый объект. MIME-проверка не заменяет антивирус и не доказывает, что формат безопасен для любого последующего обработчика.

Почему запрет расширения не спасает

Проверка имени вроде «если строка заканчивается на .php, отказать» закрывает только один сценарий. На практике опасность возникает из-за сочетания нескольких ошибок.

Особенно опасны SVG и HTML-подобные форматы. SVG может содержать сценарии и внешние ссылки; если браузер отдаёт его с неподходящим MIME или в контексте вашего домена, загрузка превращается в XSS. Если SVG не нужен, не принимайте его. Если нужен — очищайте проверенным специализированным инструментом и отдавайте с корректными заголовками, лучше с отдельного домена.

Проверка формата: от расширения к структуре

Изображения

После определения MIME попробуйте открыть изображение библиотекой, которую приложение использует для обработки. Проверьте максимальные ширину, высоту и общий объём декодированных данных: небольшой файл может потребовать много памяти после распаковки. Для пользовательских фотографий безопаснее создать новое изображение из декодированного содержимого, удалить метаданные и сохранить в нужном формате. Исходник при этом не должен автоматически становиться публичным.

PDF и документы

Не открывайте загруженный PDF в административном интерфейсе без необходимости и не передавайте его непроверенным конвертерам. Конвертация — отдельная граница безопасности: запуск внешнего процесса требует ограничения прав, времени, памяти и сетевого доступа. Если файл нужен только для скачивания, не преобразуйте его без причины.

Архивы

Архивы требуют проверки содержимого после распаковки. Нельзя бездумно извлекать путь вроде ../../config.php или создавать тысячи файлов из небольшого архива. Нормализуйте каждый путь, запрещайте выход за целевой каталог, ограничивайте число файлов и итоговый размер. Если архив не нужен по бизнес-сценарию, не добавляйте его поддержку: это дешевле любой последующей защиты.

Сноска. Веб-шелл — загруженный или внедрённый серверный скрипт, через который злоумышленник пытается выполнять команды или управлять файлами через HTTP. Для его появления не всегда нужен полноценный файл .php: достаточно ошибки в маршрутизации, обработчике или настройке сервера.

Что ломается в продакшене

• Лимиты расходятся. Nginx может отклонить запрос раньше PHP, а PHP — раньше приложения. Показывайте пользователю понятную ошибку и логируйте причину без записи содержимого файла.
• Временный каталог переполняется. До проверки файл уже лежит на диске. Ограничьте общий объём, очищайте неиспользованные временные файлы и следите за свободным местом.
• Файл доступен по предсказуемому URL. Случайное имя снижает угадывание, но не заменяет авторизацию. Приватный документ отдавайте после проверки прав.
• Обработчик доверяет расширению. Генераторы превью, офисные конвертеры и индексаторы могут иметь собственные уязвимости. Запускайте их с минимальными правами и не давайте им доступ к секретам приложения.
• Проверка происходит после публикации. Сначала сохраняйте объект в карантин, затем проверяйте и только после успешного результата переводите его в статус доступного.

Что делать дальше

Сначала составьте таблицу разрешённых форматов: MIME, расширение, максимальный размер, способ проверки и необходимость публичного доступа. Затем создайте тесты для пустого файла, превышения лимита, неверного MIME, двойного расширения, SVG, архива с выходом из каталога и файла с исполняемым содержимым. После деплоя измеряйте количество отклонённых загрузок, ошибки парсеров, заполнение временного хранилища и обращения к файлам без права доступа.

Отдельно проверьте серверную конфигурацию на тестовом домене: загруженный файл не должен исполняться ни по исходному имени, ни по сгенерированному. Инвалидация уже загруженных файлов, антивирусное сканирование и безопасная раздача через CDN — следующие задачи, а не замена базовой изоляции.