Verzeichnisrechte Bildupload / Sicherheitsrisiko?

[Cheatah]

Hi,

(akzeptiert nur Bilder und nichts anderes :-)

woran erkennst Du, dass es sich um ein Bild handelt?

(755 reicht leider nicht aus, da das schreibende PHP Script als "Others" gilt).

Dann hat das Verzeichnis den falschen Owner. Das ist aber unerheblich, da _jeder_ über den Server erfolgende Zugriff vom selben User ist.

Wie ich nun in diesem Forum erfahren habe, scheint dies ein grosses Sicherheitsrisiko zu sein. Andere Nutzer auf dem Server können dadurch beliebig auf das entsprechende Verzeichnis zugreifen (schreibend).

Ja. Auf dem Server. Das setzt voraus, dass jemand auf dem Server eine entsprechende Aktion durchführen kann - dass also (von Dir) eine entsprechende Methode bereitgestellt wird. Zum Beispiel Dein Upload-Script.

Wäre es eine sinnvolle Lösung, vom Bildupload Script kurzzeitig die Rechte des Verzeichnisses auf 777 zu setzen -> Bild hineinkopieren -> Verzeichnis zurücksetzen (755)?

Nein. Dazu muss das Script (=der Server) hinreichende Rechte haben, und ergo hat sie auch jedes andere Script auf dem Server. Desweiteren kann das Zurückbiegen der Rechte schiefgehen; z.B. wenn das Script vorher abschmiert.

Oder hat jemand einen besseren Vorschlag?

Sorge für Bekanntheit _aller_ schreibenden Schnittstellen. Sichere diese gegen unerlaubte Aktionen ab.

Cheatah