1

Estou criando um código para download de arquivos de holerite, onde cada um só pode ver o seu holerite. O código que eu fiz agora funciona, porem tem uma falha, como eu coloquei todos os arquivos na mesma pasta para facilitar o upload deles visto que são mais de 400, quando a pessoa gera o código do link para download ele pode ao mudar o nome do arquivo buscar outros demais holerites, gostaria de saber uma forma de mascarar esse link, no meu código o $user->cod_func é o código do funcionário que ele pega do banco de dados para criar o link correto porem se a pessoa mudar esse código por tentativa e erro no navegador ele pode cessar outros e era isso que eu queria evitar.

        <?php
            $arquivos = 'holerith '."$user->cod_func".'  '.utf8_decode($_POST['select_mes']).' de '.$_POST['select_ano'].'.pdf';                
            $filename = 'arquivos/'.$arquivos;

            if (file_exists($filename)) {
                ?>  

                Vizualizar: <a href="<?php echo "$filename"; ?>"><?php echo $_POST['select_mes'].' '.$_POST['select_ano']; ?></a>
                <br>

                <?php

            } else {
                echo "Não existe holerith no mês selecionado";
            }
        ?>
1
  • Em vez de imprimir de maneira direta, recomendo que antes de fazer a impressão, verifique se o código que foi passado para impressão é o mesmo do usuário logado, e permita a impressão apenas se for Commented 13/03/2017 às 16:48

2 Respostas 2

1

Uma das formas facies seria utilizando HMAC, ele tem o proposito de verificar a integridade da informação, assim impedindo que seja alterado, como você diz em " ele pode ao mudar o nome do arquivo buscar outros demais", porém ele não tem o proposito de esconder. Uma outra opção é verificando se o usuário que solicitar o download tem realmente acesso a ele ou utilizar ambos.

Para ambos os casos seria necessário ler o arquivo e passar para o cliente via PHP, assim o cliente não tem acesso direto ao arquivo e este arquivo deve esta fora do acesso público, por diversas razões!

Utilizando HMAC:

<?php

    const CHAVE_SECRETA =  '123456789';
    const LOCAL_ARQUIVO = '../arquivo/';


    if(!isset($_GET['arquivo']) || !isset($_GET['hash'])){
        echo 'Informações insuficientes';
        exit;
    }

    $nomeArquivo = $_GET['arquivo'];
    $hashNome = $_GET['hash'];

    if(!hash_equals(hash_hmac('SHA512', $nomeArquivo, CHAVE_SECRETA), $hashNome)){
        echo 'Algum parâmetro foi alterado!';
        exit;
    }

    if (!preg_match('/^(?:[a-z0-9_-]|\.(?!\.))+$/iD', $nomeArquivo)) {
        echo 'Arquivo é inválido';
        exit;    
        // Isto é feito para evitar ataques para ler aquivos internos (ex. "../etc/"...), na pior das hipóteses.
    }

    if (!file_exists(LOCAL_ARQUIVO.$nomeArquivo)) {
        echo 'Arquivo é inexistente';
        exit;
    }

    header('Content-Description: File Transfer');
    header('Content-Disposition: attachment; filename="'.$nomeArquivo.'"');
    header('Content-Type: application/octet-stream');
    header('Content-Transfer-Encoding: binary');
    header('Content-Length: ' . filesize(LOCAL_ARQUIVO.$nomeArquivo));
    header('Cache-Control: must-revalidate, post-check=0, pre-check=0');
    header('Pragma: public');
    header('Expires: 0');

    readfile(LOCAL_ARQUIVO.$nomeArquivo);

Esta resposta foi baseada nesta publicação, com várias alterações.

Depois para gerar o botão de download utilize:

const CHAVE_SECRETA =  '123456789';
const LOCAL_ARQUIVO = '../arquivo/';

$nomeArquivo = 'holerith '."$user->cod_func".'  '.utf8_decode($_POST['select_mes']).' de '.$_POST['select_ano'].'.pdf';

$parametrosURL = [
    'arquivo' => $nomeArquivo,
    'hash' => hash_hmac('SHA512', $nomeArquivo, CHAVE_SECRETA)
];

$URL = 'download.php?'.http_build_query($parametrosURL);

if (file_exists(LOCAL_ARQUIVO.$nomeArquivo)) {
    ?>

    Vizualizar: <a href="<?= $URL ?>"><?= $_POST['select_mes'].' '.$_POST['select_ano']; ?></a>
    <br>

    <?php

} else {
    echo "Não existe holerith no mês selecionado";
}

Os caminhos utilizados estão deduzindo a seguinte forma:

C.
├───public_html
│       index.php
│       download.php
│
└───arquivo
        teste.pdf

Dessa forma os arquivos presente em arquivo estão fora do acesso padrão do usuário. O download.php (quem realmente faz o download) e o index.php (quem gera o link) estão acessíveis e numa mesma pasta.

Explicações:

Irei apenas resumir o HMAC, o HMAC é basicamente um HASH(Texo + HASH(Texto + Senha)). Isso garante que apenas quem tem a senha (neste caso 123456789, mas logicamente deve ser uma mais forte) poderá gerar o mesmo HMAC.

Dessa forma se o usuário final mudar o parâmetro arquivo.pdf para arquivo2.pdf ele terá uma HASH diferente, assim o PHP irá impedir o download, porque as hash não são iguais, essa comparação é feita pelo hash_equals.

A única situação que pode ocorrer é se por algum motivo sua senha secreta for vazada, se alguém descobrir a senha utilizada para hash, tal pessoa poderá acessar qualquer arquivo, justamente por isso foi utilizado o preg_match, para impedir acessos a arquivos do próprio sistema, o que seria mais danoso.


Se você possui sessões pode fazer com que apenas o usuário conectado faça o download, verificando por exemplo no MySQL se o usuário que está tentado baixar possui acesso ao arquivo ou possui acesso aos dados do funcionário em especifico, como é o caso.

Você também pode criar uma senha do HMAC por sessão, assim se o usuário acessar o mesmo link em outro navegador, onde não está com a mesma sessão, irá falhar. Você também pode adicionar mais dados ao HMAC ou utilizar a sessão, por exemplo limitando o acesso ao IP.

1
  • Em baixo eu coloquei como eu consegui é até parecido com a sua resposta mas sem a chave, achei bem interessante, mesmo o meu dando certo vou tentar a sua solução me parece ate mais segura. Commented 13/03/2017 às 22:23
1

Eu consegui fazer de uma forma parecida utilizando um arquivo auxiliar download.php

<?php
            $arquivos = 'holerith '."$user->cod_func".'  '.utf8_decode($_POST['select_mes']).' de '.$_POST['select_ano'].'.pdf';
            $pasta = '/arquivos';               
            $filename = 'arquivos/'.$arquivos;

            if (file_exists($filename)) {
                ?>  

                Vizualizar: <a href="<?php echo "$filename"; ?>" embed><?php echo $_POST['select_mes'].' '.$_POST['select_ano']; ?></a>
                <br>

                Download Arquivo: <a href="download.php?id=1&m=<?php echo $_POST['select_mes']?>&a=<?php echo $_POST['select_ano']?>"><?php echo $_POST['select_mes'].' '.$_POST['select_ano']; ?></a>

                <?php

            } else {
                echo "Não existe holerith no mês selecionado";
            }
        ?>

Ai no arquivo download.php eu coloquei assim:

  <?php
        include 'conectar.php';

        $sql = "SELECT * FROM intra_users"; // seleciona as colonas da tabela usuarios
        $resultado = mysql_query($sql); // executa a contulta e armazena o resultado em array
        $num_linhas = mysql_num_rows($resultado);

        // Recuperando Sessão do usuário Joomla
        define('_JEXEC', 1);
        define('DS', DIRECTORY_SEPARATOR);
        $path = "\\xampp\htdocs\intranet";  //caminho da instalação do Joomla
        define('JPATH_BASE', $path);
        require_once JPATH_BASE . DS . 'includes' . DS . 'defines.php';
        require_once JPATH_BASE . DS . 'includes' . DS . 'framework.php';

        $mainframe =& JFactory::getApplication('site');
        $db = &JFactory::getDBO();
        $mainframe->initialise();
        $user =& JFactory::getUser( );

        if (isset($_GET['id'])){
        $id = $_GET['id']; /* Pega o ID do arquivo para comparar com a array */
        $mes = $_GET['m'];
        $ano = $_GET['a'];

        /* Lista com os endereços */
        $d[1] = 'arquivos/holerith '."$user->cod_func".'  '.$mes.' de '.$ano.'.pdf';
        $d[2] = '';

        /* Loop para ler o atributo de 'id' e transformar na variável 'file'. */
        for($n = 1; $n < count($d); $n++) { 
            if ($id == $n){
            $file = $d[$n];
            /* Lista de Headers para preparar a página */
            header("Content-Type: application/save");
            $tam = filesize($file);
            header("Content-Length: $tam");
            header('Content-Disposition: attachment; filename="' . $file . '"'); 
            header("Content-Transfer-Encoding: binary");
            header('Expires: 0'); 
            header('Pragma: no-cache'); 

            /* Lê e evia o arquivo para download */
            $fp = fopen("$file", "r"); 
            fpassthru($fp); 
            fclose($fp); 
            $msg = '';
        } 
        else {$msg = 'Arquivo não existe.';} /* Caso o arquivo não exista */
        }}
        else {echo 'Código do arquivo incorreto.';} /* Caso o ID não seja colocado */
        if (isset($msg)){ echo $msg;} else { echo '<br>Arquivo não existe.';}
        ?>

ai o link só vai ter o GET do mês e ano e não o código do usuário "$user->cod_func" que é recuperado da sessão logada do joomla, se alguém não logado tenta acessar esse link não funciona e se outra usuário logar vai baixar o arquivo correspondente ao seu, acho que isso é o bastante ou acha que ainda da para burlar?

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .