Добрый день.

Вопросов 2:

С помощью ПХП отгружаются на сервер картинки (гиф, жпг).
Я где-то читал, что якобы в отгружаемую картинку, предварительно (перед аплоад), можно вставить вредоносный код, который сделает бо бо серверу.

1) Что это за код и как обезопасить сервер? (я так понимаю после отгрузки такой картинки, просто набирается ее линк в бровзере и оля ля ля серверу кранты (зависит от кода, конечно)...)


Далее, на моем сайте должна быть возможность обмена файлами... т.е ты заходишь, отгружаешь файл (рар/зип-архив), выбираешь ник, кому посылаешь ну и тому высвечивается мол такой-то посылает вам файл.

2) Как сделать, чтобы загрузить файл мог только тот юзер, которому этот файл посылают? (у Юзеров есть айдишники и все дела)

Просто так получается, что сейчас загрузить файл может КАЖДЫЙ, кто знает путь к файлу... а надо чтобы ТОЛЬКО тот, кому этот файл предназначен.


Заранее Спасибо.

Это сообщение отредактировал(а) Dzuchara - 10.10.2007, 17:18

Ну вообще ибить сервак гифкой и жпего невозможно,
хотя в принципе через возможные уязвимости можно убить систему пользователя скачавшего имидж,
но это встречается редко...

По второму вопросу:
можно хранить имидж в бд и давать право скачивать только юзеру которомцу имидж предназначен...

может, так:
 закрываешь в апаче доступ в директорию с файлами, а в PHP пишешь:
<?
fopen(ля-ля, новый картинк);
fprintf(ляля, implode("secret_dir/file.jpg"));;
fclose(ляля);
?>
далее переаддресовываем на новый картинк

позднее новый картинк стираем.

ИМХО лычший вариант вариант в самом деле картинки в БД т.к. остается возможность обращения к катинке по адрессу http://mysait/img/gtr.gif. 
да и вообще туту дело случия если злоумышлиник-изващенец захочет сделать "бо-бо" собственно он и загрузит картинку с вредоносным кодом на твой сервак и в дальнейшем сам же ее выполнит. Опять же таки вариант сканить скриптом содержание картинки на наличие тегов типа <?php, <?, <script> и т.д....

Выводы:


Pokoinik, 
по поводу уязвимости прав, т.к если бы это было бы так легко то уже бы много сайтов похакали бы.

А второй вопрос касается не картинок, а Архивов! Соответветственно архивы могут быть большого размера (например 10 Мб) и по-этому, я думаю, что лучше не хранить их в БД.

Можно развить идею comcon1, но возникают вопросы:
1) Как закрыть доступ к директорию? (Deny From All)?
2) Если я закрою директорию, сможет ли мой собсвенный пхп-скрипт сохранять туда upload-файлы?
3) Код Пхп совершенно не понятен мне...



Что он делает? Выводит содержимое файла? причем тут implode?

1. Насчет кода в гифе - старый "баг", залатанная дыра, наверно, везде уже (это надо, чтобы mime-тип картинки не был прописан, как картинка в настройках веб-сервера).

2. Насчет хранения картинок в базе - не надо, со временем база раздуется и будет все тормозить жутко.

3. По поводу загрузки файла только нужным юзером:
  - сделать таблицу связи "файл-юзер"
  - проверять по сессии и если файл присутствует в таблице связи для этого юзера .....
  -  ..... отдавать его не прямым линком, а download-хэдерами.

dsCode, 



по поводу этого не знаешь?



Почему не прямым и как выглядят эти download-хэдеры?

а чем не утраивает мой вариант скана файлов, хотя если оооочень большие то будет подтормаживать...

Dzuchara, если "Денай Фром Ол" будет стоять - вообще нельзя будет взять этот файл напрямую, а вот через хэдер - пожалуйста. Да, это, на мой взгляд, самый правильный способ (с учетом пунктов из предыдущего моего поста):

- поставить deny from all
- отдавать хэдерами (никто не узнает реальный путь, даже сам юзер, которому принадлежит файл)

chiffa, 

В ходе обсуждения этой темы выяснилось, что в наше время идея вшивания кода в картинку - не актуальна. Про это можно забыть.


dsCode, 

Я подумал что лучше сделать так: после аплоада файла дописывать в самое начало - в название файла Айди юзера, которому он предназначается... а при скачивании просто парсить название файла и смотреть чтобы Айди совпадали... Это очень просто.

Крайне приблизительный код:




На всякий случай пастую немного доработанную ф-цию закачки:



Может быть кто-нить не знает: До вызова этой ф-ции не должно быть никакого вывода! (output)


dsCode, спасибо за очень компетентный ответ. Все проверил - все работает!

Остальным учасникам темы также огромное спасибо за помощь!

Это сообщение отредактировал(а) Dzuchara - 11.10.2007, 23:11