Ominięcie zabezpieczenia Opcje

[karis]

Czy mogą inni jeśli tak to w jaki sposób obejść moje zabezpieczenia dotyczące uploadu plików?

Sprawdzam za pomocą ereg() czy w nazwie występuje np: php, php3, php4, php5....

Czy mogą oni w jakiś sposób wgrać plik php?

[.radex]

mogą. Wystarczy, że rozszerzenie będzie inne. Ale wtedy nic z tym nie zrobisz, bo i tak nie odpalisz pliku php, jeśli nie ma on rozszerzenia .php

Sprawdzanie po rozszerzeniach wystarcza. Raz widziałem stronę z uploadem (nie będę podawał linku, żeby nie robić antyreklamy), na której nie było sprawdzane rozszerzenie, a mime type - takie zabezpieczenie można o kant dupy potłuc, bo mime type można sfałszować (kolega myślał, że mime type jest mu zwracane na podstawie zawartości pliku)

[Spawnm]

po co tak?
sprawdzaj czy typ mime jest taki jaki dopuszczasz np. jpg, gif.

[karis]

Dobra ale w jaki sposób to zrobią.
Przecież jak zmienią rozszerzenie skryptu to sie nie wykona

[Crozin]

Wsz7ystko zależy od konfiguracji serwera. Miałem już sam doczynienia z serwererami, gdzie dla wszystkich plików poza jpg,png,gif było włączone parsowanie kodu PHP.

Co do mime. Zależy które jest sprawdzane. Jeżeli to wyłane przez przeglądarkę to jest to błąd - bo to można sfałszować. Dużo pewniejsze jest sprawdzanie mime po stronie serwera.

[karis]

w jaki sposób można sfałszować mime?

[.radex]

w jaki sposób można sfałszować mime?

No przecież Crozin już wyjaśnił. Jeśli sprawdzamy mime type wysyłane przez przeglądarkę, to równie dobrze ta przeglądarka może wysłać sfałszowane mime. Po prostu wystarczy "powiedzieć" przeglądarce jakie MIME ma wysłać serwerowi.

[pyro]

No przecież Crozin już wyjaśnił. Jeśli sprawdzamy mime type wysyłane przez przeglądarkę, to równie dobrze ta przeglądarka może wysłać sfałszowane mime. Po prostu wystarczy "powiedzieć" przeglądarce jakie MIME ma wysłać serwerowi.

a konkretniej nagłówek HTTP

[Kocurro]

Widziałem jakiś czas temu funkcję, moduł, klasę (co to było nie pamiętam), które sprawdzały w locie mime-type bazując na ustalonych regułach.

pozdrawiam,
Łukasz

[Fifi209]

Jak na moje oko to możesz wgrać plik na serwer, spakować go np. zipem i po sprawie.

[tanwel_programme...]

Moim skromnym zdaniem zapominając o mime istnieje jeszcze jedna ważna reguła. Jeżeli zdarzy się, że na serwerze występują pliki ".inc" to należy pamiętać równierz o nich. Często się żdarza, że na serwer nie prasuje plików inc i można je nie tylko podmienić ale równierz sobie obejrzeć w przeglądarce

[karis]

Jak na moje oko to możesz wgrać plik na serwer, spakować go np. zipem i po sprawie.

No załózmy ze wgraj spakowany plik php zipem.

Jak zostanie on wykonany?

[mlattari]

ale najprościej, jeżeli to grafika, będzie chyba uzycie getimagesize do sprawdzenia wymiarów pliku. Tego chyba nie da się oszukać :-)

[Fifi209]

No załózmy ze wgraj spakowany plik php zipem.

Jak zostanie on wykonany?

Właśnie chyba w tym rzecz aby nie został wykonany. ;p

@edit
Mam tu na myśli pakowanie plików php. Nie napisałeś co chcesz uploadować. ;d

Ten post edytował fifi209 4.04.2009, 08:15:41

[karis]

A jak może zostać wykonany, chcę to wiedzieć

[.radex]

A jak może zostać wykonany, chcę to wiedzieć

Nie może

No chyba, że napiszesz moduł do Apache'a, który w czasie rzeczywistym wypakowuje plik zip i odpala zawarty w nim .php

Ten post edytował .radex 4.04.2009, 09:17:31

[kiamil]

A rozszerzenia .phtml .shtml .asp .aspx .json .js .html .xhtml .htm itp. ? .phtml .shtml moze odpalacc php, .json mzoe sluzyc jako serwer danych, .js tez jako keylogger, .asp .aspx moze odpalic asp, .*htm* moze zawierac js..

[Spawnm]

zamiast sprawdzać czy w nazwie czasem nie pojawiło się .php itp
lepiej daj tablicę z dozwolonymi formatami, z nazwy nadesłanej grafiki/aplikacji odcinaj 4 ostatnie znaki i potem sprawdzaj w in_array" title="Zobacz w manualu PHP" target="_manual .

[Crozin]

@Spawnm: do pobierania rozszerzenia pliku służy pathinfo" title="Zobacz w manualu PHP" target="_manual

Co do tematu: finfo_file" title="Zobacz w manualu PHP" target="_manual lub coś innego, co po stronie serwera odczytuje mime pliku już wgranego na serwer oraz sprawdzanie rozszerzenia. I tyle.

[megawebmaster]

Dokładnie. A do obrazków można użyć exif_imagetype(). W ten sposób nie można uszkodzić sobie serwisu