[HaBo]

valenterry

Anzeige

Ja, die Frage steht oben.
Über eine Liste würd ich mich sehr freuen.
(PS: Ja, ich hab Google gefragt und auch die Sufu benutzt.)

Mackz

?

Was meinst du? Formulier deine Frage mal ausführlicher.

__________________
RL sux big time... auch 2012!

Deleting pr0n is like killing your best friend

[HaBo] bei Facebook - Werde Fan

valenterry

Hab ich mir schon gedacht...
Sorry!
Ich meine Dateien, die beim Aufruf z.b. andere Dateien auf dem Server lesen können, schreiben können usw.
Also solche Dateien, bei denen man bei einem Upload auf den Server vorsichtig sein sollte.

Heptamer

Also, entweder ich hab zuviel Bier getrunken heute abend (halbes Glas), oder ich bin immer noch nüchtern und versteh den Sinn der Frage immer noch nicht.

lightsaver

ich vermute er meint sowas wie .exe , .bat... (also aus der windowswelt) und entsprechendes noch aus der linuxwelt. wobei man unter linux ja vieles ausführen kann sofern entsprechende rechte gesetzt sind. so, ich hoffe ich hab die frage richtig verstanden.

valenterry

Stell dir folgendes vor:

Ein Benutzer lädt bei einem Upload-Service ein Bild hoch.
Nix schlimmes.
Nun aber lädt er die Datei gefährlich.php hoch und ruft sie im Browser auf.
Somit wird die Datei auf dem Server ausgeführt und es steht irgentwas gaaanz böses drin.
Nun wollte ich wissen welche Dateien für einen solchen Zweck benutzt werden könnten.

Aber jetzt habt ihrs verstanden oder? >.<

Heptamer

Jo, vestanden - aber so einfach wie du dir das vorstellst ist das dann nicht, da es immer noch auf die Konfiguration des Servers ankommt auf den man was hochlädt - auf einem Server auf dem php läuft wärs natürlich recht dümmlich wenn da jeder php-skripte drauf ausführen kann, ist der Server aber ein reiner Fileserver, dann kannst du dir dann 20.000 php-skripte draufladen (lassen), da kann dann nichts passieren weil diese erst gar nicht ausgeführt werden können.

Daher ist deine Frage, wenn du die weiterhin so allgemein halten willst, nicht zu beantworten.

valenterry

Ja, läuft (leider) php drauf.

Heptamer

Wieso leider? Wenns das nicht brauchst auf deinem Server, dann schmeiss es runter, das gilt übrigens für alle überflüssigen Dienste die nicht benötigt werden.

valenterry

Das leider eigentlich deswegen, weil ich es brauche. Ich kann es nicht zufällig für ein Verzeichnis abschalten oder? ....... .. .

Cyberm@ster

http://de3.php.net/manual/de/features.file-upload.php

Mache einfache eine Whitelist für erlaubte Dateitypen und verwerfe alle anderen. D.h. lass dein Upload-Script die Dateitypen vergleichen.

valenterry

Danke ^^ dann mach ich ne Whitelist.
Ist wahrscheinlich sogar noch sicherer.
Viel mehr muss ich dann nicht beachten oder?

fetzer

Lad es in ein Verzeichnis außerhalb des web-Roots hoch und lass die Dateien per Skript aufrufen. Dabei kannst du z.b. auf den Typ schliessen und du kannst die dateien eventl. auf viren, etc überprüfen, usw. Da sollte man doch genügend Ideen haben, um sich vor fremden Skripten zu schützen

Zwirni

Kannst es generell abschalten indem du in der /etc/php.ini etwas einträgst:

Ob und wie das auch für ein einzelnes Verzeichnis geht ... keine Ahnung.

LX

Die php.ini-Direktiven helfen ja nix, wenn man dennoch ausführbare Skripte von PHP parsen lässt. Denn nur wenn shell_exec() gesperrt ist (oder selbst wenn der safe_mode aktiviert ist), kann man dennoch eine Menge Mist anstellen, in der Datenbank rumwursteln etc.

Eine generelle Blacklist, die alle Dateiformate beinhaltet, die der Apache zur Weiterverarbeitung an PHP oder andere Scriptsprachen weiterleitet, ist da wesentlich sicherer. Oder eine Whitelist für eine Handvoll unbedenklicher Dateitypen...

__________________
"Ever tried. Ever failed. No matter.
Try again. Fail again. Fail better."
- Samuel Beckett

JS BB LX UP