Nezabezpečený Upload: Chyba amatérov ?

Máte na svojej webovej stránke vlastný upload ? Myslíte si že sa cezeň nedá vaša stránka poškodiť ? Ste na omyle, Viac v článku

Pred tým ako začnete čítať: Článok je tu na to aby ste si chybu opravili a nie aby ste takúto chybu u druhých využili. Za prípadne zneužitie samozrejme nezodpovedám ja ale vy.

Nezabezpečený Upload. V Poslednej dobe chyba najmä amatérských webov. Samozrejme sa nájdu aj výnimky. Pár takých nájdete napríklad na Google, inurl:upload.php, stačí tam trošku pohľadať.

Ako takáto chyba vznikne ? Veľa administrátorov umiestni na svoju stránku upload, pre pohodlnejšie pridávanie obrázkov a súborov na ich stránku. Na jeho zabezpečenie však drvivá väčšina zabúda. A na čo to presne zabúdajú ? Určenie povolených typov súborov.. Vysvetlíme si ako takýto upload zabezpečiť, ale pred tým si ešte v rýchlosti povieme čo sa dá cez takýto upload spraviť.

Príklad: Nájdem si stránku, kde je povolené uploadovať .php súbory. Nahrám tam svoj napr [c99 shell alebo Locus7 shell] alebo nejaký iný backdoor a môžem získať kontrolu buď nad celou stránkou alebo možno aj celým serverom.

Ako takémuto niečomu predísť ? Stačí upraviť Váš uploadovací formulár a to takto:

$mime_povolene = 'text/plain|image/png|image/gif|image/jpeg|image/pjpeg'; if(!in_array($_FILES['subor']['typ'], $mime_povolene)) echo '

Pozor ! Formát ktorý sa pokúšaš nahrať je zakázaný !

';

Poviem Vám, že tento kúsok zdrojového kódu znamená kritický rozdiel medzi zabezpečeným a NEzabezpečeným uploadom. V Premennej $mime_povolene máte vypísané povolené MIME tipy súborov, s ktorými je porovnaný MIME typ ktorý uploadujeme mi.

Tak hor sa do zabezpečovania :)

BTW: Vybrali.sme.sk : http://vybrali.sme.sk/c/Nezabezpeceny-Upload-Chyba-amaterov/

Související články

• Ako na jednoduchý upload obrázkov v PHP (23. červenece 08, 19:07)