nicht angemeldet
Hi Tom,
den Ansatz mit der htaccess-Datei (nur Bilddateien zulassen) hatte ich auch schon. Werde ich umsetzen.
Der Upload findet hinter einer htacces-Barriere statt.
Ergo muss der Angriefer das Passwort ausspähen. Das gleiche könnte er auch bei der FTP-Übertragung machen.
In diesem Fall brauche ich nicht mehr über Sicherheitslücken in Skripten suchen, wenn der Angreifer direkten Zugang via FTP zum Server bekommen.
Mein einziger Ansatzpunkt: meine Haupt-CMS-Datei.
Ich "escape" alle Parameterübergaben an die DB mit mysql_real_escape_string().
Denke, das reicht, oder etwa nicht?
Im Filesystem wird in der Ausgabedatei nicht gearbeitet.
Alle verwendeten Variablen setze ich vorher immer auf "" (z.B. $var="";), zusätzlich zu globals=off.
Bin ratlos.
Viele Grüße
Fabienne