Комментарии: А как Вы загружаете файлы на сервер? https://intsystem.org/security/how-do-you-upload-files-at-the-server/ Случаи из опыта разработки различных WEB проектов. Интересные факты, статьи, впечатления. Программирование и все о нем в сфере WEB. Wed, 06 Jan 2016 15:01:46 +0000 hourly 1 https://wordpress.org/?v=6.6.1 Автор: Странник https://intsystem.org/security/how-do-you-upload-files-at-the-server/#comment-23106 Wed, 06 Jan 2016 15:01:46 +0000 http://intsystem.org/?p=892#comment-23106 В ответ на Дмитрий Амиров.

Тоже вариант. Можно будет и убить все проблемы с расширениями

]]> Автор: Дмитрий Амиров https://intsystem.org/security/how-do-you-upload-files-at-the-server/#comment-23105 Wed, 06 Jan 2016 14:55:13 +0000 http://intsystem.org/?p=892#comment-23105 В ответ на Странник.

В принципе необязательно загружать файл вне public_html. Можно загружать и в public_html но переименовывать файл например в случайный md5 хеш, или текущий timestamp, сохранив при этом данные об оригинальном имени в БД, и отдавать его скриптом download.php
Этим самым убьем двух зайцев — и безопасно, и на всякие UTF-8 и спецсимволы в имени файла пофиг.

]]> Автор: Странник https://intsystem.org/security/how-do-you-upload-files-at-the-server/#comment-23104 Wed, 06 Jan 2016 14:23:32 +0000 http://intsystem.org/?p=892#comment-23104 В ответ на Дмитрий Амиров.

Можно, кстати, попробовать такое решение — загружать в папку, недоступную для просмотра (вне public_html директории). А для скачивания файловв написать выдающий их скрипт download.php?id=some_file_id

]]> Автор: Дмитрий Амиров https://intsystem.org/security/how-do-you-upload-files-at-the-server/#comment-23103 Wed, 06 Jan 2016 14:15:30 +0000 http://intsystem.org/?p=892#comment-23103 В ответ на Странник.

Не :) модерируются комментарии только от новых пользователей. Новый пользователь определяется по email.
Благодарю :)

]]> Автор: Странник https://intsystem.org/security/how-do-you-upload-files-at-the-server/#comment-23102 Wed, 06 Jan 2016 14:12:41 +0000 http://intsystem.org/?p=892#comment-23102 В ответ на Дмитрий Амиров.

Ах вот оно как, а я думал, что у вас все комментарии проходят автомодерацию.

]]> Автор: Дмитрий Амиров https://intsystem.org/security/how-do-you-upload-files-at-the-server/#comment-23101 Wed, 06 Jan 2016 14:02:24 +0000 http://intsystem.org/?p=892#comment-23101 В ответ на Странник.

Да, отключить то можно… Но, как вы сами сказали, что тонкостей слишком уж много. И помимо отключения обработчиков, нужно не дать возможность загрузить новый .htaccess или php.ini, которые могут переопределить это отключение.
PS: кстати, не могли бы вы заполнить пожалуйста поле EMail при оставлении комментария, чтобы я каждый ваш комментарий не модерировал вручную? :) можно любой, в т.ч. фейковый

]]> Автор: Странник https://intsystem.org/security/how-do-you-upload-files-at-the-server/#comment-23100 Wed, 06 Jan 2016 13:36:37 +0000 http://intsystem.org/?p=892#comment-23100 Разве нельзя в .htaccess папки для загрузок просто выключить все обработчики для всех языков?

И ещё, у меня почему-то создаётся впечатление, что в PHP и Apache уж слишком многовато этих тонкостей, так критически влияющих на безопасность

]]> Автор: Дмитрий Амиров https://intsystem.org/security/how-do-you-upload-files-at-the-server/#comment-16144 Thu, 27 Nov 2014 20:10:37 +0000 http://intsystem.org/?p=892#comment-16144 В ответ на Алексей.

Могу ошибаться, но по идее в таком случае все равно останется возможность данный .htaccess просто удалить как файл. И создать новый.

]]> Автор: Алексей https://intsystem.org/security/how-do-you-upload-files-at-the-server/#comment-16117 Wed, 26 Nov 2014 23:48:14 +0000 http://intsystem.org/?p=892#comment-16117 В ответ на Дмитрий Амиров.

А что если владельцу сайта залить в папку еще один .htaccess и выставить на него права «только чтение»? Или от загрузки другого .htaccess это все равно не спасет?

]]> Автор: Дмитрий Амиров https://intsystem.org/security/how-do-you-upload-files-at-the-server/#comment-1894 Sun, 16 Dec 2012 20:40:10 +0000 http://intsystem.org/?p=892#comment-1894 В ответ на Роберт.

А в настройках Апача нельзя задать демилитаризованную зону в которой не выполняются никакие скрипты?

Чисто теоретически возможно. Но дело в том что человек сможет залить свой .htaccess в котором он может переопределить этот запрет.

Я пока придумал только один вариант: FTP закидывает файлы в папку которая недоступна из веба, а файлы достаёт специальная функция.

Тоже вполне разумный вариант)

]]>