4

高圧縮ファイル爆弾 - Wikipedia

展開すると容量をとても大きく消費してしまう zip ファイルを、 zip 爆弾というようです。

ただ、何らかの理由でユーザーがアップロードした zip ファイルをサーバー上で解凍しなければいけないような場合に、何かしらあらかじめこの zip ファイルを本当に解凍しても問題ないのかを、確認する手段が欲しくなるな、と思いました。

質問

  • ある zip ファイルが、 zip 爆弾的であるかどうかを、サーバー上で判定する方法はありますか?
2
  • 2
    参考: 英語版での関連質問 - How can I protect myself from a zip bomb?
    – cubick
    Commented 2019年8月5日 8:42
  • 1
    zipはファイルフォーマットが公開されているので、自分で展開プログラムを作ることも不可能ではありません。ファイルヘッダを読んで、検証して、実際にzlibを使って展開してみて、爆発しそうになったら中断するとか。
    – soramimi
    Commented 2019年8月5日 8:50

3 件の回答 3

4

unzipコマンドの-l-Zオプションを使えば、アーカイブを展開せずに中身のファイル一覧や展開後のファイルサイズを確認することができます。

身構えてチェックする必要はありますが、不必要にファイルサイズが大きかったり、ZIPの中にZIPが入れ子になっているようなケースは確認できるのかなと。

1

容量の小さいループバックデバイスを作って、その中に解凍するようにしたらいいのでは。
正常なら解凍ファイルを所定の位置に移せばいいし、爆弾なら解凍プロセスがエラーになるので分かるはずです。

1

自分でチェックせずに、サーバーサイドにインストールしたウイルス対策ソフトに任せてしまうとか。有名な 45.1.zip であれば今どきのアンチウィルスソフトはみな検出してくれるようです。

より新しい非再帰構造 zipbomb であっても
https://security.srad.jp/story/19/07/16/1351248/
によれば unzip 自体も対応済みとか。記事が書かれた当時に対策ソフトの対応まだでも、今頃はきっと対応済み(であろうことを強く期待する)

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。