Upload plików, Zabezpieczenia Opcje

[Macok]

Mam taki kod służący do uploadu obrazków.
Czy istnieją jakieś inne metody na zabezpieczenie sie przed hackerami, próbującymi uploadowac na serwer plikow do kradniecia danych?

[PHP] pobierz, plaintext 
<?php
$max_rozmiar = 1024*1024;
if (is_uploaded_file($_FILES['plik']['tmp_name'])) {
	if ($_FILES['plik']['size'] > $max_rozmiar) {
		echo 'Błąd! Plik jest za duży!';
	} else {
		echo 'Odebrano plik. Początkowa nazwa: '.$_FILES['plik']['name'];
		echo '<br/>';
		if (isset($_FILES['plik']['type'])) {
			echo 'Typ: '.$_FILES['plik']['type'].'<br/>';
		}
		move_uploaded_file($_FILES['plik']['tmp_name'],
				$_SERVER['DOCUMENT_ROOT'].'/foto/'.$_FILES['plik']['name']);
	}
} else {
   echo 'Błąd przy przesyłaniu danych!';
}
 
?>
[PHP] pobierz, plaintext 

[mdco]

W skrypcie trzeba zawrzeć warunek aby nie mogli wrzucać plików wykonywalnych, czyli np. plików z rozszerzeniem php.

[revyag]

Możesz sprawdzać mime type uploadowanego pliku. Masz go w

[PHP] pobierz, plaintext 
<?php
$_FILES['plik']['type']
?>
[PHP] pobierz, plaintext 

[Macok]

Dzieki, wygląda na to ze sie udalo.
Mam jeszcze 2 pytania.

1. Jesli ktos uploaduje plik o nazwie ktora jest juz na serwerze to stary plik sie usuwa. Co zrobic zeby tak sie niedzialo?
2. Jak potem wyswietlic te pliki na stronie?

[yaro]

proponuje sprawdzanie pliku po jego rozszerzeniu ale nie po mime, bo mime może być inne niż w rzeczywistości jest plik.

is_file() - sprawdzanie czy już taki plik istnieje

a tak można sprawdzić czy jest to grafika

Kod

$x = getimagesize($_FILES['plik']['tmp_name']);
if(!is_array($x) || $x[0] < 2))
{
    echo "Zły plik graficzny";
}

Jeszcze proponuje sprawdzić czy nie jest to jakiś plik 1x1000px

Kod

list($width $height) = getimagesize($_FILES['plik']['tmp_name']);

Ten post edytował yaro 14.10.2006, 20:36:52

[jarrod]

Kod

$x = getimagesize($_FILES['plik']['tmp_name']);

ja bym do tego dodał @ aby wygłuszyć błędy:

Kod

$x = @getimagesize($_FILES['plik']['tmp_name']);