Sicherheit beim Upload

[Tom]

Hello,

Ich bin jetzt an einem Punkt, wo ich eine Uploadfunktion schreiben muss. Kann ich damit rechnen, dass du mir jetzt sagst, wie ich es machen muss oder muss ich doch auf die obsoleten Funktionen zurückgreifen?

Das überführen der Datei aus dem Temporärverzeichnis in die persistente Ablage kannst Du gerne mit der mMn obseleten Funktion move_uploaded_file() tun, wenn dir die Zieldateien egal sind, Du sie also notfalls auch überschreiben kannst.

Die Funktion bietet gegenüber einer generischen Lösung keinen echten Vorteil, sondern auf jeden Fall diesen beschriebenen Nachteil mit dem Überschreiben.

• fopen(quelle, nur lesend)
• flock(quelle, shared)
• fopen(ziel, nicht überschreibend/überschreibend, je nach Wunsch)
• flock(ziel, exclusive)
• Schleife fread(quelle, Datenblock) -> fwrite(ziel, Datenblock) bis Ende bei Quelle erreicht
• fclose(quelle)
• fclose(ziel)

Bei jedem Schritt muss eine Fehlerauswertung vorgenommen werden.

Viel wichtiger ist aber, dass Du dir nochmal durchliest, was ich bisher im Artikel schon geschrieben habe über

• open_basedir
• upload_tmp_dir
• Kontrolle des Dateinamens (keine Pfade!)
• Kontrolle der Dateiendung (möglichst richtigstellen laut MIME-Type)
• keine Scripte zulassen
• am besten nur bestimmte Dateiendungen zulassen aus einer Positivliste
• Scriptausführung im Ablageverzeichnis (wenn es über HTTP/s erreichbar ist) unterbinden
• ...

http://wiki.selfhtml.org/wiki/Artikel:PHP/File_Upload

Bei Shared Hosting:
Bei PHP als Modul ist ein eigenes upload_tmp_dir für jeden virtual Host mMn die wichtigste Sicherheitsmaßnahme, die aber nur dann greift, wenn open_basedir auch vernünftig eingestellt wird.

Bei PHP als CGI/Fast-CGI gibt es noch andere Möglichkeiten, da da jeder Virtual-Host sowieso unter einem eigenen User läuft und bei vernünftigen Einrichtung des Temporärverzeichnisses sowieso nur dieser User zugreifen kann.

Ich denke, die Zeit von deiner Aussage bis heute sollte ausreichen, dass du eine Lösung oder zumindest einen Ansagt präsentierst.

Wie kommst Du dazu, über meine Zeit zu verfügen?

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg