![]() ![]() |
Post
#21
|
|
|
Grupa: Zarejestrowani Postów: 2 885 Pomógł: 463 Dołączył: 3.10.2009 Skąd: Wrocław Ostrzeżenie: (0%)
|
gdzie $this->extensions to tablica dozwolonych rozszerzeń, ale też zabezpieczenie żadne, bo wystarczy zmienić ręcznie rozszerzenie pliku i przejdzie. Ten post edytował darko 8.03.2010, 14:30:31 |
|
|
|
Post
#22
|
|
|
Newsman Grupa: Moderatorzy Postów: 2 033 Pomógł: 290 Dołączył: 21.12.2007 Skąd: Łódź |
Jak już wspomniał @phpion, sprawdzanie rozszerzenia zda się psu na budę.
Podstawową kwestią jest sprawdzenie typu mime pliku, np. w ten sposób:
PS: Kod jest żywcem wycięty, nie bawiłem się w edycję, więc proszę nie pytać, co to jest np. to: $_errors['file_upload_error'] (IMG:style_emoticons/default/smile.gif) |
|
|
|
Post
#23
|
|
|
Grupa: Zarejestrowani Postów: 2 885 Pomógł: 463 Dołączył: 3.10.2009 Skąd: Wrocław Ostrzeżenie: (0%)
|
Teoretycznie sprawdzanie typu mime też da się obejść
|
|
|
|
Post
#24
|
|
|
Newsman Grupa: Moderatorzy Postów: 2 033 Pomógł: 290 Dołączył: 21.12.2007 Skąd: Łódź |
Cytat Teoretycznie sprawdzanie typu mime też da się obejść Oczywiście, wszystko da się obejść. Ale nie jest to już tak trywialne, jak zmiana rozszerzenia. Ale oczywiście, nic nie stoi na przeszkodzie, by sprawdzać również rozszerzenie. Generalnie - powinno się walidować wszystko, co się da, jeśli dopuszczamy upload plików na serwer przez "niezaufane" źródła (czyli użyszkodników) |
|
|
|
Post
#25
|
|
|
Grupa: Zarejestrowani Postów: 6 476 Pomógł: 1306 Dołączył: 6.08.2006 Skąd: Kraków Ostrzeżenie: (0%)
|
@blooregard: typ mime z $_FILES jest ustawiany przez przeglądarkę (zobacz sobie na podgląd wysyłanych nagłówków przy pomocy Firebuga). Typ mime powinno się sprawdzać po stronie serwera.
|
|
|
|
Post
#26
|
|
|
Newsman Grupa: Moderatorzy Postów: 2 033 Pomógł: 290 Dołączył: 21.12.2007 Skąd: Łódź |
Cytat @blooregard: typ mime z $_FILES jest ustawiany przez przeglądarkę (zobacz sobie na podgląd wysyłanych nagłówków przy pomocy Firebuga). Typ mime powinno się sprawdzać po stronie serwera. Tak, masz rację, nie wspomniałem o tym: http://pl.php.net/manual/pl/ref.fileinfo.php |
|
|
|
![]() ![]() |
|
Aktualny czas: 10.06.2026 - 21:30 |