Oldal: 1 / 3 123 UtolsóUtolsó
Eredmény: 1 - 10 (28) összesen

Téma: Biztonsag

  1. #1
    Rubyist Geri logója
    Csatlakozott
    07-12-15
    Hely
    \x90
    Hozzászólás
    5.744
    Begyűjtött 1.428 köszönetet
    892 hozzászólásával

    Alapbeállítás Biztonsag

    mar szo esett egy topicban arrol hogy mikre kell egy oldal elkeszitesenel biztonsagos szempontjabol figyelni.
    amikre en figyelek:
    -sql injection (mysql_real_escape_string)
    -xss(htmlspecialchars)
    -fajl kiterjesztes vizsgalata feltoltesnel.

    most hirtelen ennyi jut eszembe, de biztosan van meg sokminden.


    If debugging is the process of removing software bugs, then programming must be the process of putting them in.
    Ruby blog
    Give a man a fish and you feed him for a day. Teach a man to fish and you feed him for a lifetime.
    Respect all, fear none

  2. #2
    kow
    kow nem elérhető
    KowDerMei$ter kow logója
    Csatlakozott
    07-05-09
    Hely
    Budapest
    Hozzászólás
    1.447
    Begyűjtött 0 köszönetet
    0 hozzászólásával

    Alapbeállítás re: Biztonsag

    -fajl kiterjesztes vizsgalata feltoltesnel.
    Ez nem elég, attól függ milyen filera számítasz.

    Képet így ellenörzök: @getimagesize( $kepURL ), ha false-t ad vissza, akkor nem kép.
    Prof haverom pl. beleolvas a JPG-k elejébe és az alapján ítél

    Ha csak kiterjesztésre hagyod a döntést, az nagyon durva biztonsági rés!



  3. #3
    Rubyist Geri logója
    Csatlakozott
    07-12-15
    Hely
    \x90
    Hozzászólás
    5.744
    Begyűjtött 1.428 köszönetet
    892 hozzászólásával

    Alapbeállítás re: Biztonsag

    Idézet kow eredeti hozzászólása Hozzászólás megtekintése
    Ez nem elég, attól függ milyen filera számítasz.

    Képet így ellenörzök: @getimagesize( $kepURL ), ha false-t ad vissza, akkor nem kép.
    Prof haverom pl. beleolvas a JPG-k elejébe és az alapján ítél

    Ha csak kiterjesztésre hagyod a döntést, az nagyon durva biztonsági rés!
    mindig tanulok valami ujat.
    de leirom en miert csak a kiterjesztest vizsgalom es javits ki ha nincs igazam.
    ha a php ertelmezon csak a .php mehet at akkor akkor mire megy vele ha atnevezi .jpg-re feltolti es megnyitja a bongeszoben?



  4. #4
    kow
    kow nem elérhető
    KowDerMei$ter kow logója
    Csatlakozott
    07-05-09
    Hely
    Budapest
    Hozzászólás
    1.447
    Begyűjtött 0 köszönetet
    0 hozzászólásával

    Alapbeállítás re: Biztonsag

    Gyanítom linuxos szerverre dolgozol, amire fel lehet így tölteni egy bash scriptet gonosz.jpg névvel és roppant gonosz dolgokat művelni.

    Hasznos lehet még a mime/type vizsgálata.



  5. #5
    Rubyist Geri logója
    Csatlakozott
    07-12-15
    Hely
    \x90
    Hozzászólás
    5.744
    Begyűjtött 1.428 köszönetet
    892 hozzászólásával

    Alapbeállítás re: Biztonsag

    Idézet kow eredeti hozzászólása Hozzászólás megtekintése
    Gyanítom linuxos szerverre dolgozol, amire fel lehet így tölteni egy bash scriptet gonosz.jpg névvel és roppant gonosz dolgokat művelni.

    Hasznos lehet még a mime/type vizsgálata.
    akkor ezentul csekkolom a getimagesize()-al is. koszonom a tanacsot.
    tovabbi tippek? vagy azok mar fizetosek ?



  6. #6
    kow
    kow nem elérhető
    KowDerMei$ter kow logója
    Csatlakozott
    07-05-09
    Hely
    Budapest
    Hozzászólás
    1.447
    Begyűjtött 0 köszönetet
    0 hozzászólásával

    Alapbeállítás re: Biztonsag

    Most töltöttem fel, itt egy részletes doksi a feltöltési esetekről és kijátszásukról:
    http://www.scribd.com/doc/6123910/Php-File-Upload

    ( a mime/type-ot visszavonom )



  7. #7
    Rubyist Geri logója
    Csatlakozott
    07-12-15
    Hely
    \x90
    Hozzászólás
    5.744
    Begyűjtött 1.428 köszönetet
    892 hozzászólásával

    Alapbeállítás re: Biztonsag

    Idézet kow eredeti hozzászólása Hozzászólás megtekintése
    ( a mime/type-ot visszavonom )
    itt a getimagesize()-ot sem tartjak jo megoldasnak . viszont most korvonalazodni latszik a fejmben egy megoldas, csak meg meg kell valositani es le kell tesztelni.



  8. #8
    heal
    Vendég

    Alapbeállítás re: Biztonsag

    én is beleolvasok a fájlba, azt elég nehéz megkerülni. ha érdekel, bemásolom az a forrásrészt, ami elintézi a dolgot.

    PHP kód:
    $arr_spec = array(
      
    'JPG' => array('start' => 0'len' => 3'search' => "˙Ř˙"),
      
    'GIF' => array('start' => 0'len' => 3'search' => "GIF"),
      
    'PNG' => array('start' => 1'len' => 3'search' => "PNG"),
    );

    $file file_get_contents($_FILES['file']['tmp_name']);

    $format_pass false;
      foreach (
    $arr_spec as $key => $val) {
          if (
    substr($dat,$val['start'],$val['len']) == $val['search']) {
              
    $format_pass $key;
              break;
          }
      }

      if (
    $format_pass == false) {
           die(
    'Ejnyebejnye: nem támogatott fájl..');
      } 
    bemásoltam. ha segített, jól jönne a hírnévpont..
    Ha nem világos a kód, elmagyarázom szívesen.


    Utoljára módosítva: heal által : 2008-09-20 21:54

  9. #9
    Rubyist Geri logója
    Csatlakozott
    07-12-15
    Hely
    \x90
    Hozzászólás
    5.744
    Begyűjtött 1.428 köszönetet
    892 hozzászólásával

    Alapbeállítás re: Biztonsag

    Idézet heal eredeti hozzászólása Hozzászólás megtekintése
    én is beleolvasok a fájlba, azt elég nehéz megkerülni. ha érdekel, bemásolom az a forrásrészt, ami elintézi a dolgot.
    ha elolvasod a belinkelt szoveget akkor latni fogod hogy ez sem tokeletes biztonsag a kepfajlok commentjeibe lehet scriptet rakni .
    nekem meg mindig a kiterjesztes vizsgalata tunik a legbiztonsagosabbnak, ha tudod hogy a szerveren mik futhatnak. bar en nem azt nezem hogy mi nem johet fel hanem hogy mi johet.baj akkor van ha a serveren futtathato allomanykent kezelik a GIF vagy JPEG allomanyokat.
    Idézet heal eredeti hozzászólása Hozzászólás megtekintése
    bemásoltam. ha segített, jól jönne a hírnévpont..
    a hirnevpont megy a szandekodert
    Idézet heal eredeti hozzászólása Hozzászólás megtekintése
    Ha nem világos a kód, elmagyarázom szívesen.
    csunya lenne ha nem lenne vilagos

    az en jovobeli megoldasom :
    vizsgalom a kiterjesztest+ a feltoltott fajlt atnevezem es kiterjesztes nelkul mentem. a kiterjesztes nelkuli fajlokat pedig csak nem allitjak futtathatova a serveren.

    update: ez sem jo. most jut eszembe hogy csinaltam mar ilyet es asszem az ie6 nem jelenitette meg ugy a kepeket hogy a forrasban utanuk biggyesztettem a kiterjesztest.


    Utoljára módosítva: Geri által : 2008-09-20 22:20

  10. #10
    heal
    Vendég

    Alapbeállítás re: Biztonsag

    Idézet Geri07 eredeti hozzászólása Hozzászólás megtekintése
    ha elolvasod a belinkelt szoveget akkor latni fogod hogy ez sem tokeletes biztonsag a kepfajlok commentjeibe lehet scriptet rakni
    Elolvastam. Kérdés, hogy így is futtatja-e a rendszer a scriptet. Főleg ha jpg a fájl kiterjesztése. (esetleg kipróbálhatnád.)
    Ha futtatja, akkor már csak egy ötletem van: feltöltés után újra kéne alkotni a képet, pl GD-vel, hogy csak a legegyszerűbbet mondjam. Az garantáltan tiszta, komment nélküli fájlt hoz létre. Max az lesz a kommentben, hogy 'Created with GD'.

    De nem hiszem, hogy szükséges ilyen extra terhelést okozni.

    Köszi az előző pontot!



Oldal: 1 / 3 123 UtolsóUtolsó

A téma címkéi:

Könyvjelzők

Hozzászólás szabályai

  • Új témákat nem hozhatsz létre
  • Válaszokat nem küldhetsz
  • Fájlokat nem csatolhatsz
  • A hozzászólásaidat nem módosíthatod
  •