サーバー上で Ubuntu と Apache を実行しています。POST を使用してサーバーにファイルをアップロードする実験を行いたいと考えています。php.ini で、ファイルをアップロードするときに使用するフォルダーを設定できます。デフォルトでは、システムの /tmp フォルダーが使用されます。
私の質問：標準の /tmp フォルダーを使用するとセキュリティ上の脆弱性が生じますか?
/tmp フォルダーを一時フォルダーとして使用することで、一部のデータが侵害されたり変更されたりする可能性がありますか?
答え1
セッション管理
PHP のデフォルトのセッション機能は安全であると考えられており、生成された PHPSessionID は十分にランダムですが、ストレージは必ずしも安全ではありません。
- セッションファイルはtemp（/tmp）フォルダに保存され、誰でも書き込み可能です。suPHPがインストールされていない場合そのため、LFI やその他のリークによって、最終的にそれらが操作される可能性があります。
自分自身に保存するファイルにも同じことが当てはまります/tmp/。
さらに読む: