-4

admin.php:

$file = $_GET['apagar'];
if (!unlink($file))
{
echo ("arquivo nao encontrado");
}
else
{
echo ("arquivo deletado");
}

 <script>function del(){return confirm("Excluir?");}</script>
 <a href='?apagar=data1.html' onclick='return del();'>Apagar</a>
 <a href='?apagar=data2.html' onclick='return del();'>Apagar</a>
 <a href='?apagar=data3.html' onclick='return del();'>Apagar</a>

Até aqui tudo bem!

O problema está aqui, acessando a url direta apaga o arquivo index.php coisa que não quero.

http://127.0.0.1/admin.php?apagar=index.php
5
  • A melhor forma é ter uma lista de arquivos na BD e só deixar apagar se ele existir. Ou então ter os arquivos que são para apagar num diretório diferente dos arquivos .php.
    – Jorge B.
    23/09/2019 às 8:35
  • @JorgeB. Mesmo deixando em uma pasta diferente é possível apagar acesso direto 127.0.0.1/admin.php?apagar=../config.php deleta arquivos mais importante ainda. :-|
    – User2208
    23/09/2019 às 8:58
  • tens de tirar o acesso a essas pastas primeiro e dar acesso só à pasta onde vão estar os ficheiros.
    – Jorge B.
    23/09/2019 às 8:59
  • você pode fazer uma lista no banco de dados como o Jorge B. sugeriu ou um array com as paginas que não quer que sejam apagadas e antes da execução do unlink($file) vc verificar se o que veio no $_GET["apagar"] esta presente na lista com um in_array(), se estiver vc interrompe a execução
    – Wees Smith
    23/09/2019 às 9:30
  • Alias o ideal é teres um diretório só para ficheiros que podem ser editados e apagados e também um registo desses mesmos ficheiro em BD, e só apagar se estiverem na BD e claro naquele diretório. Os restantes diretórios devem estar protegidos.
    – Jorge B.
    23/09/2019 às 11:54

1 Resposta 1

1

Sua preocupação neste momento é que um usuário mal intencionado consiga excluir arquivos *.php do seu site, mas isso deixa aberto para um atacante tentar excluir QUALQUER ARQUIVO do seu host, se as permissões de pastas estiverem mal configuradas seu servidor estará exposto e você poderá ter muita dor de cabeça.

Uma solução melhor é manter um diretório a parte especificamente para este tipo de arquivo e o seu script tem que checar se o arquivo solicitado para exclusão se encontra neste diretório, por exemplo:

<?php

$userFiles = '/caminho/pasta/especifica';
$fileRequested = basename($_GET['apagar']);
$file = $userFiles . DIRECTORY_SEPARATOR . $fileRequested;
if (is_file($file) && unlink($file)) {
    echo 'arquivo deletado';
} else {
    echo 'arquivo não encontrado ou não autorizado';
}

// ...

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .