Bezpieczny upload na serwer Opcje

[johny-cage]

Mam pytanie dotyczące bezpieczeństwa uploadu na serwer. Załózmy że na serwerze mam 2 skrytpy: laduj1.php i laduj2.php
W skrypcie laduj1.php jest formularz z <input type=file> a w skrypcie laduj2.php jest

[PHP] pobierz, plaintext 
<?php
$plik1_tmp = $_FILES['plik1']['tmp_name'];
$plik1_nazwa = $_FILES['plik1']['name'];
$plik1_rozmiar = $_FILES['plik1']['size'];
 
move_uploaded_file($plik1_tmp, "jakiskatalog/$plik1_nazwa");
?>
[PHP] pobierz, plaintext 

Oczywiście aby wykonać taką operację katalog do którego nagrywam musi mieć prawa dostępu ustawione na 777. Nasuwa się zatem pewna wątpliwość. Czy ktoś kto w jakiś sposób się dowie że istniej na moim dysku katalog o prawach dostępu do zapisu może napisać sobie skrypt na swoim serwerze i w ten sposób za pomocą skryptu ze swojego serwera nagrywać pliki na mój serwer?

[tsharek]

Oczywiście aby wykonać taką operację katalog do którego nagrywam musi mieć prawa dostępu ustawione na 777. Nasuwa się zatem pewna wątpliwość. Czy ktoś kto w jakiś sposób się dowie że istniej na moim dysku katalog o prawach dostępu do zapisu może napisać sobie skrypt na swoim serwerze i w ten sposób za pomocą skryptu ze swojego serwera nagrywać pliki na mój serwer?

dokładnie tak: są generalnie dwa sposoby walki z takimi atakami:
- ukrywanie katalogu (np za pomocą htaccess) przed dostępem z zewnątrz
- filtr na uploadowane pliki (na rozszerzenie, mime type pliku, itp)