[スキル名] php-file-upload-audit

PHP ファイルアップロード監査（php-file-upload-audit）

統一実行ポリシー（必須）

shared/PHP_AUDIT_EXECUTION_POLICY.md に従う必要があります。

実行時には、「デュアルチャネル + 証拠階層化」ルールを統一的に採用します。

• 高い再現率チャネル：まず静的な source/sink の初期スクリーニングを行い、HTTP ルートと非ルートエントリ（CLI/cron/queue/include）をカバーします。

• 高い信頼性チャネル：次に trace/EVID を使用して確認とノイズ除去を行います。

状態判定は、✅確認済み / 🟡高確率 / ⚠️検証待ち / ❌利用不可 / 🔍環境依存 に統一されます。

• 最小証拠セット（到達可能なコード断片 + 制御可能な手がかり + sink トリガーの手がかり）を満たす場合 => 🟡高確率 とマークできます。

• 完全な trace + EVID を満たす場合 => ✅確認済み とマークします。

• 証拠が不十分な場合 => ⚠️検証待ち とマークします。

厳密性の要件は変わりませんが、trace が不完全であることを理由に沈黙してはなりません。疑わしい高リスクと欠落している証拠は引き続き出力する必要があります。

PHP プロジェクトのソースコードを分析し、ファイルアップロードロジック（$_FILES、move_uploaded_file など）を特定し、保存ディレクトリとファイル名の処理方法を追跡して、以下を検出します。

• 任意のファイルアップロード（任意のタイプ/任意の拡張子）

• パス・トラバーサル（元のファイル名を使用した連結）

• 実行可能ファイルのアップロード（Web アクセス可能なディレクトリにアップロードされ、実行が制限されていない場合）

• 上書き/同名衝突のリスク

統一監査基準（必須）

shared/PHP_AUDIT_UNIFIED_STANDARD.md に従う必要があります。

状態の順序は ✅確認済み / 🟡高確率 / ⚠️検証待ち / ❌利用不可 / 🔍環境依存 に固定する必要があります。 trace 証拠の判定は階層的に実行する必要があります。

• 最小証拠セット（エントリ到達可能 + パラメータ制御可能リンク + sink 実行手がかり + 基本的な前提条件）を満たす場合 => 🟡高確率
• 完全な証拠セット（trace COMPLETE + EVID アライメント + 分岐カバレッジ）を満たす場合 => ✅確認済み
• 最小証拠セットを満たさない場合 => ⚠️検証待ち

誤検知抑制は、ハードコードされた上書き、ホワイトリストの有効性、到達不能な分岐、サンドボックス/権限境界をチェックする必要があります。 見落とし抑制は、trace 不完全でも沈黙しない、sink-only フォールバックを実行する必要があります。 出力する最小フィールドには、位置、source->sink、前提条件、状態、PoC、修正を含める必要があります。 実行優先順位は、まず発見、次に文書化に従う必要があります。

証拠信頼度フィールドと再確認チェックリスト（必須）

証拠信頼度フィールド（必須）：shared/PHP_AUDIT_UNIFIED_STANDARD.md に従って HIGH/MEDIUM/LOW を出力し、判定根拠（状態と一致）を提示します。 再確認チェックリスト（必須、最低 5 項目）：

• 高い再現率チャネル（フェーズ0）が実行されたか、または sink-only フォールバックが有効化され、非ルートエントリがカバーされているか
• 同種の拡張チェックが完了しているか（特定のアップロード sink にヒットした後、同種のエントリ/保存カプセル化を横断的にスキャン）
• 最小証拠セット/完全証拠セットのルールに従って 🟡高確率/✅確認済み/⚠️検証待ち が提示され、欠落点が説明されているか
• source->sink データフローがファイル名解析/拡張子浄化/保存場所連結/アクセス可能性に明確にリンクされているか
• 誤検知抑制について、ハードコード/ホワイトリスト/到達不能/権限境界/形式不成立の説明がされているか
• 実行可能な PoC と代替可能な修正提案（ランダム化戦略/MIME 検証/アクセス面制限/検索特定要点を含む）が提示されているか

分類と番号付け

• 詳細は shared/SEVERITY_RATING.md を参照してください。

• 脆弱性番号：{C/H/M/L}-UPLOAD-{連番}

アップロードエントリの識別（必須）

以下を識別します。

• $_FILES['{value}'] フィールド

• move_uploaded_file($_FILES['{value}']['tmp_name'], $dest)

• 保存パスの連結：$uploadDir.$filename、sprintf、join など

• 名前変更：uniqid/random_bytes/タイムスタンプ（filename が依然として制御可能な場合は高リスク）

検証ロジックの監査（必須）

各ポイントをチェックし、証拠を出力する必要があります。

• 拡張子/ホワイトリスト：サフィックスのみを検証しているか（バイパス可能）

• 拡張子解析の安全性：「二重拡張子/複数ドット拡張子」のバイパス（例：a.php.jpg、.pHp の大文字小文字バイパス、末尾の空白/Unicode 区切り文字）が存在しないか

• MIME/マジックナンバー：finfo_file/mime_content_type/ファイルヘッダー識別を行っているか

• MIME/マジックナンバーの一貫性：「サーバー側の実際のコンテンツタイプ」と「拡張子/サフィックス」が一致しているか（Content-Type のみを信頼することを避けるため）

• ファイル名の浄化：パス区切り文字と危険な文字（../、\、:、ヌルバイトなど）が除去されているか

• アップロードディレクトリ：Web ルートディレクトリにあるか、実行権限が制御されているか

• 書き込み後のアクセス可能性チェーン：アップロードディレクトリの静的マッピング/直接リンクアクセスが存在するか（ルーティングまたは Web サーバーの設定証拠と組み合わせる必要があります）

• 認証：アップロードインターフェースが保護されているか

tracer トリガー条件（必須）

• 保存パスまたはファイル名が多層のラッパー関数を経由している場合

• 検証ロジックに分岐があり、すべてのアップロードパスに適用されることを確認するのが難しい場合

レポート出力

以下に出力します。

{output_path}/vuln_audit/upload_{timestamp}.md

脆弱性項目テンプレート（必須）

以下を含める必要があります。

• 位置証拠（保存/検証関数の位置）

• データフローチェーン（filename/path ソース -> 検証 -> ターゲットパス -> 書き込み）

• 証拠参照（php-route-tracer 出力からの引用、各項目を引用する必要があります）：trace の ## 9) Sink Evidence Type Checklist（UPLOAD 行）の証拠要点に対応し、引用する必要があります。

  • EVID_UPLOAD_DESTPATH：destPath（保存ディレクトリの最終的な保存場所）

  • EVID_UPLOAD_FILENAME_EXTENSION_PARSING_SANITIZE：file name/extension parsing & sanitization（ファイル名/拡張子の解析と浄化ロジック）

  • EVID_UPLOAD_ACCESSIBILITY_PROOF：アクセス可能性の証拠（書き込み後にアクセス可能な面が形成されるか：静的直接リンク証拠/マッピング証拠）

  • EVID_UPLOAD_EXEC_DISABLE_STRATEGY：実行無効化戦略の証拠（サーバー側の実行無効化戦略、もしあれば）

• 利用可能な前提条件（認証/ディレクトリのアクセス可能性/バイパス条件）

• 検証 PoC（実際のアップロードルートを含み、必要な multipart リクエスト構造を提示）

• 修正提案（ホワイトリスト + マジックナンバー検証 + ディレクトリ隔離 + ファイル名のランダム化 + 上書きポリシー + Web サーバーの実行無効化要点）

tracer 証拠欠落処理（必須、統一基準に従う）

• trace の ## 9) Sink Evidence Type Checklist（UPLOAD 行）に上記の主要な証拠要点が欠落している場合：
  • 最小証拠セットを満たす（到達可能性 + パラメータ制御可能性の手がかり + Sink 実行の手がかり + 基本的な前提条件）：🟡高確率 とマークでき、レポートに欠落している EVID ポイントと補完提案を明記します。
  • 最小証拠セットを満たさない：⚠️検証待ち としかマークできません（直接 ✅確認済み利用可能 とはできません）。
  • 完全な証拠セットを満たす（すべての EVID が一致 + 完全な trace + 分岐カバレッジ）：✅確認済み利用可能 とマークできます。