 [PHP] Upload plików - kwestia bezpieczeństwa |
| [PHP] Upload plików - kwestia bezpieczeństwa |
 
Post
#1
|
|
 Grupa: Zarejestrowani Postów: 623 Pomógł: 11 Dołączył: 1.01.2009 Skąd: Wrocław Ostrzeżenie: (0%) 
 |
Witam,
część mojej aplikacji odpowiedzialny za upload zdjęć jest podzielony na dwie grupy katalogi: tmp_first oraz katalogi do których zostanie wysłany plik (to wybiera user). W katalogu /tmp_first znajdują się zdjęcia świeżo wgrane przez użytkownika, które należy wykadrować itp. Teraz pytanie: czy bezpiecznie jest wrzucać do tego folderu pliki o dowolnej nazwie (bo akceptowane rozszerzenie to jpg, jpeg, gif, png, więc raczej ni będzie w niech złośliwego kodu) i później edytować ich nazwy na bardziej odpowiednie, np.: z "jakiś fajniutki plik $ coś tam.jpg" na "jaki__fajniutki_plik___co__tam.jpg", czy może nie dopuszczać tego typu plików w ogóle do serwera? Pozdrawiam -------------------- |
 |
 
|
 |
|
Post
#2
|
|
 Grupa: Zarejestrowani Postów: 4 655 Pomógł: 556 Dołączył: 17.03.2009 Skąd: Katowice Ostrzeżenie: (0%)
|
Nazwy to hash z nazwy + losowy ciąg. Inaczej nie ma opcji.
Co do bezpieczeństwa to nie sprawdzaj rozszerzenia na zasadzie: jpg dobry, bo ja w formacie jpg mogę równie dobrze exe wrzucić. mime_content_type -------------------- Zainteresowania: C#, PHP, JS, SQL, AJAX, XML, C dla AVR
Chętnie pomogę, lecz zanim napiszesz: Wujek Google , Manual PHP |
|
|
|
|
Post
#3
|
|
|
Grupa: Zarejestrowani Postów: 623 Pomógł: 11 Dołączył: 1.01.2009 Skąd: Wrocław Ostrzeżenie: (0%)
|
Tzn. pomysł wykorzystujący katalog tymczasowy, w którym są nowe pliki z dowolną nazwą, a później je hashuje, był dobry tak?
-------------------- |
|
|
|
|
Post
#4
|
|
|
Grupa: Zarejestrowani Postów: 4 655 Pomógł: 556 Dołączył: 17.03.2009 Skąd: Katowice Ostrzeżenie: (0%)
|
Zapisujesz plik, później zmieniasz nazwę przy zapisie do normalnego katalogu (kopiowaniu z tymczasowego do normalnego)
-------------------- Zainteresowania: C#, PHP, JS, SQL, AJAX, XML, C dla AVR
Chętnie pomogę, lecz zanim napiszesz: Wujek Google , Manual PHP |
|
|
|
|
Post
#5
|
|
|
Grupa: Zarejestrowani Postów: 450 Pomógł: 84 Dołączył: 27.11.2008 Skąd: Warszawa Ostrzeżenie: (0%)
|
Warto jednak wspomnieć o tym, że funkcja mime_content_type w php 5.3 otrzymała status przestarzałej i zaleca się używanie Fileinfo (wcześniej dostępne w PECL).
|
|
|
|
|
Post
#6
|
|
|
Grupa: Zarejestrowani Postów: 4 655 Pomógł: 556 Dołączył: 17.03.2009 Skąd: Katowice Ostrzeżenie: (0%)
|
~Quantum
Hmm, przeczytałeś swojego posta? -------------------- Zainteresowania: C#, PHP, JS, SQL, AJAX, XML, C dla AVR
Chętnie pomogę, lecz zanim napiszesz: Wujek Google , Manual PHP |
|
|
|
 |
|
Aktualny czas: 21.08.2025 - 09:13 |
