Maak php script uitvoerbaar op pagina maar niet voor iedereen
Hier heb ik een download en een clear logs knop
Dit werkt allemaal leuk maar het is niet beveiligd
Iedereen kan iemand anders zn logs gewoon downloaden
Aangezien het een href naar een script is die een bestand download: http://testdomain.nl/user/111/download.php
Wat dit download script doet is hij download het bestand: http://testdomain.nl/user/111/logs.php
Is het mogelijk om logs.txt niet readable te maken maar alleen downloadbaar door download.php (waar bescherming op zit)
(BTW. dit is in een testomgeving, de gebruikers hebben dit nog niet)
- SanThe - op 20/12/2014 11:46:20:
De downloadbestanden buiten de webroot zetten.
Dit lijkt me niet echt overzichtelijk, heb namelijk voor elke user een folder met de bestanden
John D op 20/12/2014 11:54:34:
gewoon checken of het inderdaad user 111 is die http://testdomain.nl/user/111/download.php uitvoert. Wanneer het user 112 is dan weigeren. Lijkt me niet zo heel moeilijk om dat in de php op te nemen.
Klopt dit heb ik namelijk al in de download.php gezet maar als je gewoon naar de raw log gaan
http://testdomain.nl/user/111/logs.txt kunnen ze die gwn bekijken
Alle bestanden in de webroot mogen door alles en iedereen gelezen worden BEHALVE bestanden waarvan de naam begint met een punt (.) en bestanden met de extensie .php . (PHP bestanden mogen wel opgevraagd worden maar worden dan uitgevoerd en het resultaat krijg je te zien in de browser).
Beveiligen dus die usermappen of alles ligt op straat. Als je er dan van buitenaf niet meer in kan komen kan php er nog wel inkomen dus kun je inderdaad met php de boel regelen.
Code (php)
1
Deny from all
Maar realiseer je dat dan alle bestanden niet meer rechtstreeks te benaderen zijn.
Indien je apache 2.4 hebt moet het worden:
Code (php)
1
Require all denied
Gewijzigd op 20/12/2014 13:12:11 door Frank Nietbelangrijk