Como posso proteger o envio de arquivos com php contra shell script, sabendo que aceito apenas um tipo de extensão.
1 Resposta
Ao invés de checar a extensão você pode checar o conteudo usando a API do PHP chamada fileinfo, como mostrei nesta resposta https://pt.stackoverflow.com/a/73497/3635
Note que no PHP5.3 (apesar de raro alguns servidores ainda o usam) não tinhamos
Fileinfo
, mas tínhamosmime_content_type
(na documentação não fala se esta em desuso), então eu coloquei como fallback, se uma função estiver disponível usa ela, se não tenta a mais antiga, todavia ambas sempre veem habilitadas.
Exemplo:
<?php
function mimeType($file)
{
$mimetype = false;
if (class_exists('finfo')) {//PHP5.4+
$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mimetype = finfo_file($finfo, $file);
finfo_close($finfo);
} else if (function_exists('mime_content_type')) {//php5.3 ou inferiror
$mimetype = mime_content_type($file);
}
return $mimetype;
}
//Libere aqui os tipos permitidos
$validos = array( 'image/jpeg', 'image/png', 'image/gif', 'text/plain' );
$location = 'uploads/';
$arquivo = $_FILES['file'];
if ($arquivo) {
$name = $arquivo['name'];
$tmp_name = $arquivo['tmp_name'];
if ($_FILES['file']['error'] !== UPLOAD_ERR_OK) {
echo 'Erro ao fazer o upload:', $error;
} else {
//Pega o mimetype
$mimeType = mimeType($tmp_name);
//Checa o mimetype com o array
if (!in_array($mimeType, $validos)) {
echo 'Formato de arquivo invalid';
} elseif (move_uploaded_file($tmp_name, $location . $name)) {
echo 'Upload completo';
}
}
}
-
1
-
-
acredito que não está pegando o mime corretamente, sempre cai na funcao dizendo que é invalido, mesmo sendo um arquivo permitido 28/10/2016 às 11:45
-
-