Sicherheit beim Upload

[Tom]

Hello,

Warum?

2. in den o.g. Zeilen: hier müsste nicht der Hash über den Namen, sondern über den Inhalt
      der Datei geprüft werden.
      Die Datei müsste für den "Hash abfragen, rename()-durchführen-Prozess" gesperrt werden
      gegen jede Änderung. Das lässt ein "rename()" aber nicht zu, weil es kein Handle, sondern
      nur einen Namen akzeptiert.

Warum?
Warum?
Warum?

Bitte nachdenken.

Das upload_tmp_dir ist leider bei den meisten Standareinrichtungen ein shared Directory und das T-Flag schützt nur gegen Löschen und Umbenennen, nicht aber gegen Änderung des Inhaltes. So zumindest auf Unix-Installationen. Wenn dann auch noch der "PHP-User" unterschiedlicher Domains derselbe ist, kann man das Datenändern gar nicht mehr verhindern.

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg