Format Sperre für mein Upload Script

henny2212 · 12. August 2009, 17:01

Hallo liebe User,
Ich habe folgendes Problem,
undzwa habe ich mir ein Uploadscript zusammen gebastelt. Das problem ist das man dort alle datei formate hochladen kann.

hier der code der upload.php

Quellcode

<html>
<head><title>Bilder Hochladen</title><meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1"><style type="text/css">
<!--
body {
background-color: #FFFFFF;
}
-->
</style></head>
<div align="center"></div>
</html>
<?php
if ($_FILES['image_upload']['name'] != "") {
// Original hochladen
$timestamp = time();
$name_old = $_FILES['image_upload']['name'];
$name_array = explode('.', $name_old);
$filename_old = $name_array[0];
$fileextension_old = $name_array[1];
$filename_old = str_replace(" ","",$filename_old);
$filename_old = str_replace("ä","ae",$filename_old);
$filename_old = str_replace("ö","oe",$filename_old);
$filename_old = str_replace("ü","ue",$filename_old);
$filename_old = str_replace("ß","ss",$filename_old);
$filename = $filename_old."_".$timestamp.".".$fileextension_old;
$folder = "bilder/"; // Server-Pfad zum Bilder-Hauptverzeichnis - muss beschreibbar (CHMOD 777) sein
$uploadfile = "original/".$filename; // Server-Pfad zum Unterordner für das Original-Bild - muss beschreibbar (CHMOD 777) sein
$image_url = "*************************/"; // URL zum Bilder-Hauptverzeichnis inkl. abschließendem Slash
$tempname = $_FILES['file']['tmp_name'];
if (!move_uploaded_file($_FILES['image_upload']['tmp_name'], $uploadfile)) {
if(!file_exists($folder)) {
$error = 2;
} elseif(!is_writable($folder)) {
$error = 3;
} elseif(!is_writable($uploadfile)) {
$error = 4;
}
}
$image_original_url = $image_url."original/".$filename; // URL zum original Bild generieren - ggf. Verzeichnisnamen ändern.
} else {
$error = 1;
}
if ($error > 0) {
if ($error == 1) {
$status = "Kein Bild ausgewählt!";
} elseif ($error == 2) {
$status = "Ordner existiert nicht.";
} elseif ($error == 3) {
$status = "Habe keine Schreibrechte für den Ordner.";
} elseif ($error == 4) {
$status = "Habe keine Schreibrechte für die Datei.";
}
echo "<b>Es gab einen Fehler beim Upload:</b> ".$status;
} else {
$link_original = htmlentities ($image_original_url);
$link_resize = htmlentities ("<img src='".$image_resize_url."' alt=''>");
$link_thumb = htmlentities ("<img src='".$image_thumb_url."' alt=''>");
echo "<b>Bild-Upload erfolgreich!</b>";
echo "<br><br>";
echo "<b>Link zum Bild:</b> ";
echo "<br>";
echo $html."<left><form name=\"up\"><textarea cols=\"53\" rows=\"1\" name=\"text\">".$image_url."".$uploadfile."</textarea><br></form></left>";
}
?>

Alles anzeigen

kann mir jmd da eine datei format sperre einbauen... ich wäre euch echt dankbar. die formate die ich haben will ( jpeg,gif,png )

vince · 12. August 2009, 17:54

Hi,

wenn du jemanden suchst, der das macht, dann müsstest du ins Jobfirum.

Wenn du es selber machst, dann kannst du den MimeType überprüfen.
Guck einfach mal ins $_FILES Array, der wird direkt mitübermittelt.

Da das keine sichere prüfung ist da dieser leicht manipulierbar ist, solltest du mit der GDlib zusätzlich noch die Bilausmaße checken, damit du sicher gehen kannst, dass es sich um ein valides Bild handelt.
Das kannst du dann ganz einfahch mit php.net/manual/de/function.getimagesize.php machen.

philippgerard · 12. August 2009, 17:55

Vgl. mathias-bank.de/2006/10/25/php-sicherheit-upload-funktion/

henny2212 · 12. August 2009, 22:48

Ja danke erstmal einmal für die Links.
Habe mir das alles durchgelesen.
Aber irgend wie verstehe ich das nicht wirklich wie ich das "einbauen" bzw mit darin anwenden soll.

= ( mannn^^

Torsten · 13. August 2009, 21:20

Hinweis auf PHP 5.3 + de2.php.net/fileinfo ... (Wenn PHP 5.3 auf dem Server hast wenn nicht hast ein wenig mehr Arbeit)

Ich glaube damit lässt sich der Typ einer Datei am sichersten feststellen ...

Wenn ich was falsches schreibe, bitte korrigieren ...

Torben Brodt · 15. August 2009, 00:17

auch wenn hier keine ultimative Lösung vorgestellt wird, so fiindest du Hilfe bei erich-kachel.de/

Siehe "Datei hochladen Angriff" und "HTTP Header Manipulation"

henny2212 · 15. August 2009, 16:49

Danke @ all.
Habe es durch diverse links hier hinbekommen = )
: ) )

Torben Brodt · 15. August 2009, 19:05

wie sieht deine Lösung denn aus?

henny2212 · 19. August 2009, 15:13

Quellcode

$allowedExtensions = array("jpg","jpeg","gif","png");
foreach ($_FILES as $file) {
if ($file['tmp_name'] > '') {
if (!in_array(end(explode(".",
strtolower($file['name']))),
$allowedExtensions)) {
die($file['name'].' konnte nicht hochgeladen werden. Bitte nur Dateien mit den Formaten (jpg,jpeg,gif,png) hochladen.<br/>'.
'<a href="javascript:history.go(-1);">'.
'<&lt zurück</a>');
}
}
}

Alles anzeigen

so das ist meine Lösung. Klappt auch super.

evilwm · 19. August 2009, 16:20

In dem Fall verwirft er dann jede hochgeladene Datei?

Wenn du den Upload mehrerer Datein erlaubst, finde ich es "netter" zumindest die restlichen, konformen Uploads zu behalten und nur über das Verwerfen der fehlgeschlagenen zu informieren. Bei einem einzelnen Upload ist das natürlich nicht wild

Sonst hast du doppelt Traffic.

Torben Brodt · 19. August 2009, 18:17

für den "kleinen" Gebrauch reicht das Script natürlich.
Wenn du ein sicheren Formatcheck programmieren willst, solltest du aber nochmal die genannten Links durchlesen.

philippgerard · 20. August 2009, 19:55

Mag ja funktionieren, solange niemand eine bösartige Datei einfach als jpg benennt und so deinen Schutz aushebelt. Völlig sinnfreie Kontrolle ohne Sicherheit. Etwas lesen hilf!

Torben Brodt · 20. August 2009, 20:42

Ich habe noch nicht allzuviel geschrieben, aber hier findest du schonmal einen sichereren Upload: [wiki]Sicherer Bilder Upload mit PHP[/wiki]

Quellcode

$imageinfo = @getimagesize($_FILES['datei']['tmp_name']);
$allowed = array('image/gif', 'image/jpeg', 'image/png');
if(!$imageinfo || !isset($imageinfo['mime']) || !in_array($imageinfo['mime'], $allowed)) {
throw new Exception('bildformat nicht erlaubt');
}
$uploaddir = 'uploads/';
$uploadfile = $uploaddir . basename($_FILES['datei']['name']);
if (move_uploaded_file($_FILES['datei']['tmp_name'], $uploadfile)) {
echo "Upload erfolgreich.";
} else {
echo "Upload fehlgeschlagen.";
}

Alles anzeigen

Format Sperre für mein Upload Script

Format Sperre für mein Upload Script

Quellcode

Problem gelöst.

Quellcode

Quellcode

Teilen

Benutzer online 1

Tags