script uitvoer blokkeren .htaccess
Ik heb in de .htaccess de volgende code staan. Het .htaccess bestand heb ik in de parentfolder geplaats. Maar ook als ik het in dezelfde folder plaats werkt het niet.
Code (php)
1
2
2
Options -ExecCGI
AddHandler cgi-script .php .pl .py .jsp .asp .htm .shtml .sh .cgi
AddHandler cgi-script .php .pl .py .jsp .asp .htm .shtml .sh .cgi
Maar dit lijkt niet te werken.
http://boardit.misterdeman.eu/userfiles/1/scriptwerkt.php
Waar kan het aan liggen?
EDIT: Ik zet er toch maar bij. Naast het voorkomen dat script bestanden worden geopend, is elke directe toegang tot bestanden ook niet toegestaan.
Ik weet het, ik kan een map buiten de publicmap aanmaken hiervoor, maar het is tenslotte een oefening.
Gewijzigd op 08/02/2012 12:13:17 door Joeri de Man
http://perishablepress.com/press/2006/01/10/stupid-htaccess-tricks/#sec2a
Ik heb een soortgelijke code geprobeerd.
Code (php)
1
2
3
4
5
2
3
4
5
deny from all
<Files ~ "^\w+\.(gif|jpe?g|png|PNG)$">
order deny,allow
allow from all
</Files>
<Files ~ "^\w+\.(gif|jpe?g|png|PNG)$">
order deny,allow
allow from all
</Files>
En dit accepteerd dat er alleen bepaalde bestanden worden geopend. Nog case sensitive ook.
Maar nu komt het, ik wil dat niemand direct de bestanden kan benaderen. Enkel mijn eigen php scripts. Daarvoor had ik al een ander stukje code in het .htaccess bestand staan. Maar dit werkt niet in combinatie met bovenstaande.
Code (php)
1
2
3
2
3
Order deny,allow
Deny from all
Allow from localhost
Deny from all
Allow from localhost
Gewijzigd op 08/02/2012 12:18:30 door Joeri de Man
Gewijzigd op 08/02/2012 12:29:57 door Joeri de Man
Het is met een eenvoudig stukje in de .htaccess "Deny from all" al mogelijk om toegang tot de bestanden te voorkomen. En als ik het in de root doe is zelfs dat niet meer nodig.
Stel iemand upload een php bestand voor wat voor reden dan ook. Als hij het dan voor elkaar krijgt om via mijn scripts zijn bestand te openen ben ik alsnog terug bij af toch?
Gewijzigd op 08/02/2012 12:48:49 door Joeri de Man
Joeri de Man op 08/02/2012 12:48:25:
Het is met een eenvoudig stukje in de .htaccess "Deny from all" al mogelijk om toegang tot de bestanden te voorkomen.
Dat geldt alléén voor html verzoeken. Een phpscript kan er gewoon bij.
Gewijzigd op 08/02/2012 13:12:17 door - SanThe -
Bas Kreleger op 08/02/2012 12:57:57:
Dat is een beetje vertrouwen in je eigen kunde in veilig programmeren. Dat is natuurlijk goed te voorkomen.
Ik heb daar even over nagedacht. Alle bestanden worden hernoemd en de bestandslink in de database opgeslagen. Overschrijven is niet mogelijk.
Sowieso zijn de bestanden niet direct te benaderen van buitenaf.
Maar ik heb begrepen dat afbeeldingen php code kunnen bevatten, en dus zowel als afbeelding als phpscript geopend kunnen worden. Hoe voorkom je dit dan?
http://boardit.misterdeman.eu/userfiles/1/beveiligingstest2.php
De afbeelding die in de bovende link getoont word bevat, als het artikel juist is, een stukje php code. http://php.webtutor.pl/en/2011/05/13/php-code-injection-a-simple-virus-written-in-php-and-carried-in-a-jpeg-image/
Het wordt echter niet uitgevoerd en ik weet niet zeker waarom. Ik zag ergens op het forum staan dat de readfile functie veiliger is, maar elders stond dat het niet uitmaakt.
De code die ik gebruik om de afbeelding te tonen:
Code (php)
1
2
3
4
5
6
7
8
9
10
11
2
3
4
5
6
7
8
9
10
11
$file = 'php-logo-virus.jpg';
$file = 'userfiles/'.$file;
$type = getimagesize($file);
$type = $type["mime"];
//handmatig manier van type invoeren
//$type = 'image/png';
header('Content-Type:'.$type);
header('Content-Length: ' . filesize($file));
readfile($file);
?>
$file = 'userfiles/'.$file;
$type = getimagesize($file);
$type = $type["mime"];
//handmatig manier van type invoeren
//$type = 'image/png';
header('Content-Type:'.$type);
header('Content-Length: ' . filesize($file));
readfile($file);
?>
Toevoeging op 10/02/2012 23:27:42:
Ik ben benieuwd, is het genoeg om de header zelf in te vullen.
Bijvoorbeeld ik accepteerd alleen jpg bestanden, dus ik vul ook de header in met 'image/jpg'. Kan een eventueel stukje script dan nog steeds geopend worden?
Toevoeging op 11/02/2012 00:20:18:
Ik heb nog het 1 en ander geprobeerd. Maar het "virus" lijkt alleen te openen als ik of het bestand de .php extensie geef (logisch) of als ik bij de readfile() functie geen header opgeef.
Ook volgens deze website http://www.phpclasses.org/blog/post/67-PHP-security-exploit-with-GIF-images.html gaat het probleem alleen op als ik ongericht een bestand open, of gebruikers de kans geef om hun bestanden direct te benaderen.
Begrijp ik het dan goed dat ik het volgende moet doen:
Mappenstructuur
Toegang weigeren voor iedereen via htaccess of map buiten de public gebruiken.
upload
1: mimetype controleren
2: Als de mime niet is toegestaan dan gelijk weigeren.
3: wel toegestaan: bestand uploaden
4: nieuwe bestandsnaam toevoegen in database met autoid, id gebruiken als bestandsnaam
5: bestand in juiste locatie opslaan, bestand hernoemen(autoid) met juiste extensie
tonen
1: in de pagina een get functie gebruiken die het juiste ID stuurt
2: in de getbestand.php voorkomen dat het binnengekomen ID, code is ipv een ID
3: in de database de juiste locatie ophalen
4: header ('Content-Type;*'); * is juiste mime type invoeren op basis van bestandsnaam
5: readfile(); gebruiken
Gewijzigd op 11/02/2012 00:20:37 door Joeri de Man