 Zabezpieczenie przed PHP |
  |
| Zabezpieczenie przed PHP |
 14.03.2013, 11:30:46
Post
#1
|
|
 Grupa: Zarejestrowani Postów: 859 Pomógł: 177 Dołączył: 29.10.2009 Ostrzeżenie: (0%) 
 |
Witam. Mam skrypt który podczas upload sprawdza czy w pliku znajduje się fraza PHP, Php, PhP itd. jesl tak to nie przejdzie. Jest jakieś inna możliwość uruchomienia skryptu php nie korzystając ze słów PHP? <? też nie przechodzi.
|
 |
 
|
|
14.03.2013, 11:49:01
Post
#2
|
|
 Grupa: Zarejestrowani Postów: 4 655 Pomógł: 556 Dołączył: 17.03.2009 Skąd: Katowice Ostrzeżenie: (0%)
|
Zamiast bawić się w sprawdzanie to zmieniaj nazwę pliku na jakiś hash md5 zapisuj nową nazwę + oryginalną do bazy
A pliki czytaj przez skrypt readfile + header -------------------- Zainteresowania: C#, PHP, JS, SQL, AJAX, XML, C dla AVR
Chętnie pomogę, lecz zanim napiszesz: Wujek Google , Manual PHP |
|
|
|
|
14.03.2013, 11:53:57
Post
#3
|
|
|
Grupa: Zarejestrowani Postów: 859 Pomógł: 177 Dołączył: 29.10.2009 Ostrzeżenie: (0%)
|
Nie chodzi o zabawę. Po prostu chcę się z ciekawości dowiedzieć czy intruz miałby szanse coś takiego wykonać
|
|
|
|
|
14.03.2013, 11:59:03
Post
#4
|
|
|
Grupa: Zarejestrowani Postów: 4 655 Pomógł: 556 Dołączył: 17.03.2009 Skąd: Katowice Ostrzeżenie: (0%)
|
Ciężko powiedzieć, zależy od skryptu.
Jeżeli chcesz dowiedzieć się czegoś o zabezpieczeniach: o tutaj -------------------- Zainteresowania: C#, PHP, JS, SQL, AJAX, XML, C dla AVR
Chętnie pomogę, lecz zanim napiszesz: Wujek Google , Manual PHP |
|
|
|
|
14.03.2013, 13:05:55
Post
#5
|
|
|
Grupa: Zarejestrowani Postów: 859 Pomógł: 177 Dołączył: 29.10.2009 Ostrzeżenie: (0%)
|
Skrypt sprawdza czy we wrzucanym pliku jest Ciąg znaków PHP (pHp itd). Jeśli nie to wrzuca. Można wrzucić plik z rozszerzeniem .php i on zostanie otworzy i zinterpretowany normalnie (czyli php).
|
|
|
|
|
14.03.2013, 13:19:57
Post
#6
|
|
 Grupa: Zarejestrowani Postów: 273 Pomógł: 52 Dołączył: 3.02.2013 Skąd: Przemyśl Ostrzeżenie: (0%)
|
Przykładowo w JPG można umieścić komentarz z kodem PHP.
Jeżeli ktoś wczytuje pliki używając include (niestety są takie przypadki) to kod PHP może się wykonać. Jeżeli używasz readfile lub file_get_contents z odpowiednimi nagłówkami nie powinno się nic stać. Z reguły przy wgrywaniu plików sprawdza się następujące rzeczy: * Rozszerzenie pliku * Ew. typ mime (chociaż można go sfałszować) * W przypadku obrazków często używa się funkcji z biblioteki GD getimagesize, zwróci ona false jeżeli plik nie jest obrazkiem (chociaż też istnieją na to sposoby) * W przypadku wielu znanych formatów można sprawdzać tzw. magic numbers, czyli początkowe lub końcowe bajty pliku, np. każdy exe posiada na swoim początku "MZ" lub "ZM" (inicjały twórcy) * Wgrywany plik powinien mieć zawsze zmienioną nazwę np hash z md5 * Usuwanie tagów php z treści pliku też jest pewnym sposobem na zabezpieczenie -------------------- Jeżeli moja wypowiedź Ci pomogła użyj przycisku
 |
|
|
|
|
|
Wersja Lo-Fi | Aktualny czas: 14.08.2025 - 01:57 |
