[es] - Php sigurnost kod formi

Kerim O

Član broj: 206460
Poruke: 59
178.77.23.*

Profil

^{08.03.2012. u 18:24 - pre 147 meseci}

Pozdrav svima. Jako ne rado ovo pišem medjutim drugar me je zamolio a nema nalog da napišem post na ovom forumu. Ono što se dešava je da mu neko stalno uploaduje razne shell skripte. Danas sam malo pročačkao i našao jednu. Medjutim znam da se opet vrlo lako može uplodavati. Ja sam početnik ionako,medjutim čitao sam pomalo o nekim stvarima.
Sasvim siguran sam da c99 shell skripta uploaduje preko neke od forme. Medjutim kod je totalno ne organizovan što mi otežava da pokušam pronaći problem. Ono što mi sada je treba savjet da li postoji neko "brzo" rješenje u vidu da se u .htaccess fajl stavi možda stavi jpg gif i još neka osnovna ekstenzija.

Postoji klijent validacija kod upload-a slika,medjutim znam da se može zaobići. E ada me zanimaju savjeti,najbolje bi bilo da se može srediti sa .htaccess fajlom bar,da se ne može tek tako defjsati sajt.

Hvala puno

Odgovor na temu

PHPovac

Član broj: 300013
Poruke: 168
*.dynamic.isp.telekom.rs.

+19 Profil

Re: Php sigurnost kod formi

^{08.03.2012. u 18:27 - pre 147 meseci}

Koristi pretragu, bila je jako slična tema malo ranije. Ukratko neka proveri ekstenziju uploadovanog fajla NA SERVERU.

Odgovor na temu

Kerim O

Član broj: 206460
Poruke: 59
178.77.23.*

Profil

Re: Php sigurnost kod formi

^{08.03.2012. u 18:39 - pre 147 meseci}

Mogao bi. ja iskodirati da provjeri veličinu,ekstenziju,content-type i tako neke osnovne stvari. Ono što je problem je što mi treba hitno rješenje a predpostavio sam da bi se to moglo jedino uraditi sa .htaccess fajlom. Jer hoće da pusti sajt što prije.. Problem je jer sam tek maloprije dobio kod..

Odgovor na temu

PHPovac

Član broj: 300013
Poruke: 168
*.dynamic.isp.telekom.rs.

+19 Profil

Re: Php sigurnost kod formi

^{08.03.2012. u 18:41 - pre 147 meseci}

Ne verujem da .htaccess može sprečiti korisnika da putem php skripte uploaduje shell script...

Odgovor na temu

ivan.a
PHP developer

Član broj: 83976
Poruke: 403
*.dynamic.isp.telekom.rs.

+44 Profil

Re: Php sigurnost kod formi

^{08.03.2012. u 21:37 - pre 147 meseci}

Jedino što mi pada napamet u vezi .htaccess jeste da zaštitiš folder gde se slike uploaduju:

Code:
Options -Indexes
Options -ExecCGI
AddHandler cgi-script .php .php3 .php4 .phtml .pl .py .jsp .asp .htm .shtml .sh .cgi .html

Na ovaj način neće moći da pokrene skriptu iako uspe da je uploaduje.

I hope I didn't brain my damage - Homer
if (wife.position == kitchen) {return sandwich};

Odgovor na temu

Kerim O

Član broj: 206460
Poruke: 59
178.77.23.*

Profil

Re: Php sigurnost kod formi

^{08.03.2012. u 22:29 - pre 147 meseci}

Oni koji se malo bolje razumiju da li bi mi ovo moglo pomoći

Code:

deny from all
<Files ~ "^\w+\.(gif|jpe?g|png)$">
order deny,allow
allow from all
</Files>

Sa ovog upustva

Odgovor na temu

cyBerManIA
I ovo T ono
Space

Član broj: 25195
Poruke: 698
*.ptt.rs.

Sajt: www.facebook.com/cyberman..

+263 Profil

Re: Php sigurnost kod formi

^{08.03.2012. u 22:49 - pre 147 meseci}

Zasto ne stavis proveru po extenziji, a zatim ukoliko prodje iscitas content i odredis po mimetype-u?

LOL

Odgovor na temu

Kerim O

Član broj: 206460
Poruke: 59
178.77.23.*

Profil

Re: Php sigurnost kod formi

^{08.03.2012. u 23:43 - pre 147 meseci}

Zato što ne mogu da odradim u kojem djelu aplikacije tj. preko koje skripte uploaduju ovaj shell fajl. Lako bi to iskodirao ali kod je jako konfuzan i nepregledan a i nije sigurno da li mu preko toga šalju ovaj skript. Ono što sam mislio je da mu nekako uradim preko .htaccess fajla na par dana,jer sajt hitno treba da se digne a onda bi za svaki upload gdje se uploaduje fajl,ponovo napravio sa provjerom što i nije neki problem.

Medjutim,pošto je sajt jako nepregledan i slično ne mogu da ustanovim gdje se tačno dešava problem,predpostavio sam da je na formama jer sam vidio da mu je zaštita skoro nikakva. Volio bih ako bi mogao uraditi na neki način analizu da vidim gdje je nastao problem. Jer ne bi želio da iskodiram to i potrošim par dana a onda problem bude skroz drugo.

Odgovor na temu

ivan.a
PHP developer

Član broj: 83976
Poruke: 403
*.static.isp.telekom.rs.

+44 Profil

Re: Php sigurnost kod formi

^{09.03.2012. u 13:38 - pre 147 meseci}

Za ovako nešto ne postoji instant rešenje. Ako je kod loše napisan i ima dosta rupa teško da se može nešto uraditi. Dakle, da bi zaštitio skriptu potrebno je da proučiš skriptu, nađeš rupe i "zakrpiš ih".

I hope I didn't brain my damage - Homer
if (wife.position == kitchen) {return sandwich};

Odgovor na temu