[ Поиск ] - [ Пользователи ] - [ Календарь ]
Полная Версия: Безопасность при загрузке изображений
Страницы: 1, 2, 3, 4
VELIK505
Да наверное перепутал. Но я всё равно всегда использовал и буду использовать switch
zeromind да используй switch
killer8080
Цитата (zeromind @ 16.02.2012 - 09:04)
получается эта уязвимость реализуется, только при том условии, что данный GET параметр иклюдится в моем скрипте?

Не обязательно $_GET, любые пользовательские данные, будь то хоть $_POST, $_COOKIE, $_REQUEST, $_FILES или $_SERVER['HTTP_...
Цитата (zeromind @ 16.02.2012 - 09:04)
тогда думаю надо поставить или свич или самому текстом писать название файла)) и нет проблем..

само собой, это говнокодерская уязвимость. smile.gif
andrey888
благодарю аплоад сделал .. возник следующий вопрос.
скажем присваиваю я всем изображениям пришедшим от пользователей имя следующим образом
$image=time().'.'.$extension;
Вопрос такой может ли быть присвоено одно и то же имя разным изображениям при условии если они будут внесены в одно и то же время (до секунды).
Как здесь работает сервер ? - он ставит все запросы в очередь и тогда как следствие повторения быть не может при любом раскладе .. либо он может обработать два запроса вместе, и тогда такое может случиться ?


_____________
Прогноз на следующие 5 лет : Россия, Китай - две величайшие державы.
США в Ж*пе. Справедливость восторжествует. )
inpost
andrey888
Может, добавь ещё какую-нибудь random цифру.

_____________
Обучаю веб-программированию качественно и не дорого: http://school-php.com
Фрилансер, принимаю заказы: PHP, JS, AS (видео-чаты). Писать в ЛС (Личные сообщения на phpforum).
andrey888
inpost ок пасибо .
А вдруг преключиться что вместе с датой еще и рандом совпадем - понимаю что вероятность 0.00000000.... % - но все же.
Тогда наверно стоит добавлять номера групп и подгрупп и + еще рандом цифру. - чтоб еще снизить процент вероятности.

_____________
Прогноз на следующие 5 лет : Россия, Китай - две величайшие державы.
США в Ж*пе. Справедливость восторжествует. )
killer8080
или так
$name = time();
$i = 0;
$file_name = $name.$ext;
while(file_exists($file_name))
$file_name = $name.(++$i).$ext;
inpost
andrey888
Проверяй на file_exists, если тебе так легче будет smile.gif

_____________
Обучаю веб-программированию качественно и не дорого: http://school-php.com
Фрилансер, принимаю заказы: PHP, JS, AS (видео-чаты). Писать в ЛС (Личные сообщения на phpforum).
andrey888
killer8080 дак тогда получается что сервер все таки ставит запросы в очередь .. ?
если нет тогда теоретически для обеих картинок проверка на file_exists(); может показать что файла нет ?? или я ошибаюсь ?

_____________
Прогноз на следующие 5 лет : Россия, Китай - две величайшие державы.
США в Ж*пе. Справедливость восторжествует. )
killer8080
Цитата (andrey888 @ 16.02.2012 - 12:52)
killer8080 дак тогда получается что сервер все таки ставит запросы в очередь .. ?

Да.
andrey888
Извеняюсь за оффтоп небольшой.. Еще один вопрос здесь же.
Если есть регистрация пользователей , важно ли (с точки зрения безопасности) выносить все файлы которые "обслуживают" пользователя в отдельную папку ? либо это вообще неважно при условии что все правила "общения" с бд учтены (mysql_real_escape_string(),htmlspecialchars(),(int)).

На некоторых ресурсах вижу например что после регистрации я перехожу вообще на ПодДомен .... для чего это делается ?

Спасибо за ответы.

_____________
Прогноз на следующие 5 лет : Россия, Китай - две величайшие державы.
США в Ж*пе. Справедливость восторжествует. )
killer8080
Цитата (andrey888 @ 22.02.2012 - 12:46)
важно ли (с точки зрения безопасности) выносить все файлы которые "обслуживают" пользователя в отдельную папку ? либо это вообще неважно при условии что все правила "общения" с бд учтены (mysql_real_escape_string(),htmlspecialchars(),(int)).

Ну можно делать под юзера отдельную папку для аплоада, но к безопасности это отношения не имеет.
andrey888
ок спасибо.


_____________
Прогноз на следующие 5 лет : Россия, Китай - две величайшие державы.
США в Ж*пе. Справедливость восторжествует. )
Guest
Вопрос по теме - насколько правильно использовать в названии изображения время его загрузки? Может быть присваивать каждому изображению уникальный id и его настоящее имя, например 1_oldname.png 2_img055.png и т.д. Как будет правильнее?
killer8080
Цитата (Guest @ 22.02.2012 - 13:42)
Может быть присваивать каждому изображению уникальный id и его настоящее имя, например 1_oldname.png 2_img055.png и т.д.

а как будешь определять текущий id?
olegod
Может быть хранить в бд ид последнего изображения? Хотя наверное это лишняя нагрузка на сервер. Всё таки как правильнее?
Быстрый ответ:

 Графические смайлики |  Показывать подпись
Здесь расположена полная версия этой страницы.
Invision Power Board © 2001-2025 Invision Power Services, Inc.