Ben dosya yüklenenler süreçleri bir PHP komut dosyası var. Komut yüklenen dosyaları düzenlemek için çalışır ve gerekirse içine dosyaları taşımak için yeni klasörler oluşturabilirsiniz. Bu dosyalar (örneğin, bir web tarayıcısı onlara erişmek mümkün olacak) www kök dizini altında olacaktır.
Benim soru oluşturulan olsun klasörleri ve (mkdir() kullanarak ve move_uploaded_file()) onlara taşınır dosyalar için ayarlanmış ne izinleri, nedir?
Webserverınız ihtiyaçları okumak ve bu klasörlerde yazma izni, izni (UNIX benzeri sistemlerde varsayarak) iptal edilmelidir yürütmek. Değilse, bir kullanıcı bir komut dosyası yüklemek ve bunun için bir HTTP isteği göndererek idam olabilir.
Ama IMO bütün kavram potansiyel bir güvenlik açığı olduğunu. Doğrudan Acceess mümkün olduğu, böylece daha iyi bir klasöre outside webserver kök dosyaları depolamak. Web uygulama, yükleme dizini tarar ve indirme linkleri listesini görüntüleyen bir PHP indir sayfası olabilir. Bu indirme bağlantıları kullanıcıya gönderir size depolama dir und den fiels okur başka bir komut dosyası, yol.
Evet, bu daha eseridir. Ama senaryo çok yaygın olduğunu, bu nedenle kolayca örnek uygulamaları ile bazı kaynak kodunu bulmak gerekir. Ve sunucu hack sahip olduğunu çok daha az iş ve ...
