Безопасная загрузка файлов на сервер.

Posted by bullvinkle under Пост-обзор

Ответы на вопрос о том, как можно обзопасить сервер, на которые пользователи имеют право заливать файлы.

В .htaccess пропишите:

register_globals = off;

В настройках сервера:

allow_url_fopen = off;

При работе с файлами используем:

is_uploaded_file()
move_uploaded_file()

Для всех типов файлов:
— принудительное переименование и присваивание типа из «белого списка».
— запрет на прямой доступ и выполнение скриптов для директории с загруженными файлами.
— выдача файлов (неважно — картинки в текст страницы,или файлы для download) ТОЛЬКО при помощи скрипта — никакого прямого доступа к файлам.

Дополнительно для изображений:
— проверка типа файла при помощи getimagesize() .
— крайне желательно выполнять обязательный ресайз — хоть даже и сохраняя при этом исходные размеры изображения — поможет в борьбе с возможными шелл-кодами, вирусами и JS.

К теме на форуме.

Похожие статьи

• На компьютеры ставится очень много программ для скрытого майнинга
• Безопасность PHP. Проверка поступивших данных
• Параноя антивирей на упакованные файлы