uploadu plików, zabezpiecznie przed uploadem *.php Opcje

[Cezar708]

Mam problem

Musze uploadowac pliki, poprzez formularz html, do katalogu, ktory jest dostepny po wpisaniu "z palca" z paska adresu.

Chodzi o to aby haker nie zuploadowal sobie jakiegos pliku w stylu usune_wszystko.php (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif) i pozniej go po prostu nie wykonal.

Dodam ze musze uploadowac bardzo duzo typow plikow (nie tylko graficzne) i nie za bardzo wchodzi w rachube filtrowanie ich po MIME.

Jak wy robicie takie zabezpieczenia?... dodajecie header, czy jak?


pozdrawiam.

[Pedros]

No niby wystarczyłoby tak zrobić(tylko od drugiej strony... dozwolonych formatów jest mniej (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) )

[PHP] pobierz, plaintext 
<?php 
$dozwolone = array(&#092;"gif\",\"jpg\",\"jpeg\",\"png\",\"zip\",\"rar\",\"gz\",\"exe\");
$rozszerzenie = explode( '.', $_FILES[ 'plik' ][ 'name' ] );
$rozszerzenie = array_shift( $rozszerzenie );
 
if( in_array( $rozszerzenie, $zabronione ) )
{
   ....
}
else
{
  echo 'Wgrywasz zabroniony typ pliku. Nieładnie :-P';
}
?>
[PHP] pobierz, plaintext 

Pojawia się tylko jeden problem.... W zasadzie można zmienić rozszerzenie pliku i wgrać go na serwer. Nie wiem jak to technicznie wygląda, ale żeby później się nie okazało, że jakaś przeglądarka sprawdzi mime i uruchomi skrypt php... dlatego przydałoby się chyba połączenie tego i sprawdzania mimów, a to nie wiem jak zrobić(i jakie mime mają te rozszerzenia (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) )...