11 replies to this topic

[foxter]

gente, eh o seguinte, o problema de upload no site eh q eh possivel q pessoasl mah intensionadas enviem programas maliciosos para o servidor e controle o site e servidor... ok. mas o seguinte, se eu restringir esse upload apenas para .gif ou .jpg e .zip eh possivel q hackers façam algo semelhante?

vlws

Edição feita por: foxter, 17/01/2004, 22:38.

[Chinello Cybernético]

Bom, um programa no servidor não faz nada.. Ao menos q alguém q controle o servidor execute.. Mas pela web, não tem como executar ele.. E outra, servidores com suporte a PHP são Linux, poucas usuários usam linux e possuem programas mal intencionados para o Linux, então, já é mais difícil ainda..

E se vc limitar à certos arquivos, resolve o q tu acha q é problema, afinal, não vai ter um programa no teu servidor, ao menos q tu deixe..

Fui..

[Sabaote]

é possivel usuários mal intencionados executarem programas no seu servidor remotamente sim..

por isso vc tem que restringir o upload a .gif .jpg .jpeg .swf etc..
imagens somente.. nunca deixe alguém enviar um .zip .tar.gz .tgz .exe nada disso..

Falows man..
[]'s

Segurança é importante no host.. uma falha de um usuário pode acabar com o serv intero.....

[paes]

eh verdade... .zip, .tar.gz e tals é facinho executar no server...
bom.. mas como faço pra restringir somente para .gif.jpg etc.. ??

[Chinello Cybernético]

bom.. mas como faço pra restringir somente para .gif.jpg etc.. ??

No seu script de upload, antes de fazer o upload real, vc verifica a extenção do arquivo..

Geralmente a extenção do arquivo são os 3 últimos caracteres.. Então é só verificar, caso seja uma extenção aceita, prossiga com o upload, caso não, faça o q quizer, menos o upload.. hehe

E vem cá, qual seria a maneira de executar um arquivo no servidor remotamente?

Fui..

[paes]

hehehe
vai em tutoriais, php e lá tem um tópico sobre hacker... la tem
ah... mas como verifico os ultimos 3 caracteres??
explode(".", $arquivo);
??

flw

[Chinello Cybernético]

ah... mas como verifico os ultimos 3 caracteres??
explode(".", $arquivo);
??

Pow cara, aí é só um pouco de raciocínio..

Tu mesmo falou, 3 últimos caracteres.. Então:

<?
$arquivo = "exemplo_de_arquivo.zip";

$temp = strlen($arquivo);

$ext = $arquivo[$temp-3].$arquivo[$temp-2].$arquivo[$temp-1];

print "A extesnsão do arquivo é: $ext";
?>

Viu? Um pouco de raciocínio..

Fui..

[paes]

soh...
valeu cara

[Sabaote]

Simples man..

o campo <input type="file" name="arquivo" size="30">
por ex é o campo usado pra upload.. certo.. ele tem o nome "arquivo"...

ai é só fazer assim..
$_FILES['arquivo']['type'];

isso retorna o mime type do arquivo.. se for gif por ez é image/gif
ai é só verificar se o tipo mime é um .gif e se não for bloqueia..


falows..

[Tô+!]

Simples man..

o campo <input type="file" name="arquivo" size="30">
por ex é o campo usado pra upload.. certo.. ele tem o nome "arquivo"...

ai é só fazer assim..
$_FILES['arquivo']['type'];

isso retorna o mime type do arquivo.. se for gif por ez é image/gif
ai é só verificar se o tipo mime é um .gif e se não for bloqueia..


falows..

nossa... era exatamente isso que eu ia falar... isso (pra mim) é o jeito mais fácil de fazer...

* qualquer dúvida quanto a isso.. é só procurar no manual do php que tem falando...

Thomaz

[Cristiano Galdino]

Eu fiz um teste no meu PC assim:

$acceptedTypes = array('image/jpeg', 'image/jpg', 'image/pjpeg'); 
if (!in_array($arquivo, $acceptedTypes))
{
echo 'Formato inválido';
}
echo 'Esse pode';

E deu certo, testa ae...

[paes]

valeu pessoa...
vou usar dest forma sim...
fica mais fácil...

fLW