Upload script totaal niet beveiligd
menno
01/08/2008 22:53:00Beste PHPHelpers,
Ik heb gegoogled, en ik vind allemaal hele leuke upload scripts.
Nu heb ik alleen 1 probleem, ze zijn allemaal niet beveiligd tegen php upload.
Als iemand een bestand upload hack.php.jpg , en hij opent het plaatje, voert hij gewoon php uit.
Zo kan hij me config.php gewoon uitlezen :S
en nog veel meer erge dingen doen.
Dus is er een uploadscript die dit voorkomt?
Alvast hartelijk bedankt
Ik heb gegoogled, en ik vind allemaal hele leuke upload scripts.
Nu heb ik alleen 1 probleem, ze zijn allemaal niet beveiligd tegen php upload.
Als iemand een bestand upload hack.php.jpg , en hij opent het plaatje, voert hij gewoon php uit.
Zo kan hij me config.php gewoon uitlezen :S
en nog veel meer erge dingen doen.
Dus is er een uploadscript die dit voorkomt?
Alvast hartelijk bedankt
Gewijzigd op 01/01/1970 01:00:00 door Menno
PHP hulp
23/11/2024 12:59:44Jan Koehoorn
01/08/2008 22:57:00Er zijn scripts waarmee je de headers van een bestand kunt uitlezen om te kijken of het echt een jpg is. Of je kijkt met getimagesize of je wel een hoogte en een breedte kunt opvragen.
menno
02/08/2008 00:00:00Dus als getimagesize geen afmetingen teruggeeft is het een fout bestand? :)
of zijn er weer uitzonderingen?
of zijn er weer uitzonderingen?
Jan Koehoorn
02/08/2008 00:04:00Het is een richtlijn. Waterdicht is het niet, net zoals mimetypes. Je zult echt in het bestand zelf moeten gaan wil je uitsluitsel hebben.
menno
02/08/2008 00:11:00ja maar hoe doen andere upload website's dat dan om het tegen te gaan?
Want het is nogal irritant :P
Want het is nogal irritant :P
Jelmer -
02/08/2008 00:50:00Als extra dekmantel kan je via htaccess ervoor zorgen dat PHP bestanden binnen je upload-mapje niet als PHP behandeld moeten worden (volgens mij via Add-Type wanneer je PHP via CGI gebruikt, en anders iets met SetHandler?)
Nu kan je ze nog wel uitvoeren wanneer PHP ze include, dus je site extra goed op dit soort dingen controleren. Zoek naar "include $_GET['page']" en varianten waar de gebruikers-input al dan niet indirect ongecontroleerd gebruikt wordt.
Nu kan je ze nog wel uitvoeren wanneer PHP ze include, dus je site extra goed op dit soort dingen controleren. Zoek naar "include $_GET['page']" en varianten waar de gebruikers-input al dan niet indirect ongecontroleerd gebruikt wordt.