Zabezpiecznie uploadu plikow php Opcje

[miro20]

Jak w temacie , chcialem zrobic zabezpieczenie do uploadu na stronce aby nie mozna bylo wgrac php , z poczatku posluzylem sie mime_content_type , lecz pliki php widzi nawet jako text/plain , czego nie chcialem zabraniac teraz mysle o rozwiazaniu z explode "." i zeby ostatnia wartosc tablicy porownac czy czasem nie jest "php" jak zatem odwolac sie tylko do ostaniej wartosci w tablicy ? , chyba ze znacie jakies inne rozwiazania

[pyro]

Najlepiej to zrobić tablicę z DOZWOLONYMI typami plików, a jak koniecznie ma nie być TYLKO php to:

[PHP] pobierz, plaintext 
<?php
$is_php = preg_match('|php[0-9]?|i', pathinfo($plik, PATHINFO_EXTENSION)) ? true : false;
?>
[PHP] pobierz, plaintext 

[Spawnm]

a co z np .phtml ? php działa i pod tym rozszerzeniem ... lepiej daj listę dozwolonych typów

[osl]

jak wyżej, zwłaszcza, że apache można skonfigurować żeby dowolne pliki traktował jako php, chociażby inc...

[bim2]

Nie można po prostu przy uploadzie nazwać pliku nazwa.rozszerzenie_uploaded ? Lub cokolwiek zamiast tego uploaded?

[pyro]

a co z np .phtml ? php działa i pod tym rozszerzeniem ... lepiej daj listę dozwolonych typów

Racja zapomniałem o phtml ;x

[bliitz]

[PHP] pobierz, plaintext 
<?php
strtolower( strrchr( $file['form'][ 'name' ], '.' ) );
?>
[PHP] pobierz, plaintext 

Zwróci .php

[pyro]

Osobiście nie wiem dlaczego tylko php miałoby nie mieć możliwości wgrania, oprócz php można wgrać coś innego szkodliwego, np. asp, java czy jeszcze inne szmelce

// edit

dlatego wspomnialem zeby stworzyc tablice dozwolonych typow

Ten post edytował pyro 12.05.2009, 14:29:44

[miro20]

No racja nie wspomnialem o java itd , tylko dlatego ze tamte udalo mi sie zablokowac moze trochu w prowizoryczny sposob no ale lepiej kombinowac pierw samemu a pozniej pytac . Tablica tozwolonych plikow wygladala by tak

Kod

$allowedtypefiles=array(
            'txt' => 'text/plain',
            'pdf' => 'application/pdf',
            'doc' => 'application/msword',
            'rtf' => 'application/rtf',
            'odt' => 'application/vnd.oasis.opendocument.text',
            'ods' => 'application/vnd.oasis.opendocument.spreadsheet',
        );

problem jest taki ze mime_content_type dla wgrywanych plikow php zwraca mi wartosc text/plain , i pozwala na uplaodowanie tych plikow

[pyro]

Sprawdzaj po rozszerzeniu pliku a nie MIME. Weryfikację MIME można łatwo ominąć.

[miro20]

Ok postaram sie to jakos wykombinowac znalazlemprzyklad na php.net.pl