|
HTML
Javascript
Flash Actionscript
PHP
mySQL
ASP
MS-SQL
Linux
Others
Ziwoo Board
Portfolio
About
|
 |
 Ziwoo Board |
| 작성 |
2008-03-25 00:47:24 추천: 0 조회: 3365 |
| 제목 |
특정확장자의 업로드 금지. |
| 이름(ID) |
박종국 (efactory)
|
|
지우보드의 파일업로드 구문을 보면 php 같은 파일의 업로드 금지 구문이 없더군요.
업로드 폴더에 실행 권한을 준만큼 php와 같은 서버사이드 스크립트 파일의 업로드는 자칫 해킹의 우려가 있어서요.
이곳에도 테스트를 해보았는데 php도 무사히 올라가더군요..^^
업로드 구문에 확장자 체크 구문이 필요할것 같아 적어보았습니다.
|
 |
|
| 지우(ziwoo)
2008-03-25 11:21:09
|
|
좋은 의견 감사합니다.
초창기엔 체크했던것 같았는데.. 언제부터인가.. 없어졌군요..
저도 생각도 못하고 있었습니다.
업로드 받은 후 확장자 체크할때..
.php => .php_deny
.inc => .inc_deny
정도로 변경해서 저장하면 될것 같습니다.
어차피 원래 이름은 DB,에 따로 들어가고,
저 이름은 임시 저장용 이름이니까요..
다시한번 의견 감사드리고..
수정해 놓겠습니다.
# 원래 있던 라인
$extra[$f] = $_GET["boardid"]."_".$new_uid."_".$f.strtolower(strrchr($_FILES["file_up_".$f]["name"],"."));
# 바로 밑에 추가
// .php 실행가능한 확장자인 경우, 뒤에 _deny 를 추가하여 해킹방지
$ext = strtolower(strrchr($extra[$f],"."));
if($ext==".php" || $ext==".php3" || $ext==".html" || $ext==".phtml" || $ext==".htm" || $ext==".shtml" || $ext==".inc") $extra[$f] .= "_deny"; |
|
|
|
|
Contact Phone Number
