Início / server / Perguntas / 1119336
Accepted
2WFR
Asked: 2023-01-04 05:22:50 +0800 CST

Carregue arquivos em uma pasta que não esteja em www. Esta é uma boa prática?

  • 772

Eu tenho um site onde os usuários podem depositar arquivos. Não quero que esses arquivos sejam acessíveis a ninguém.

Eu vi que algumas pessoas criam uma pasta (digamos my_secret_folder) no mesmo nível do wwwdiretório. Em seguida, eles carregam arquivos (com script PHP) usando:

$destination = $_SERVER['DOCUMENT_ROOT']."/../my_secret_folder/".$filename

onde $destinationé o caminho completo do arquivo carregado.

Então, apenas um script PHP (de dentro da pasta www) permite acessar o arquivo.

Esta é uma boa prática?

php

3 respostas

  1. Best Answer

    Sim, é uma boa prática. Colocá-lo fora do webroot significa que os arquivos não serão expostos publicamente por um simples erro de configuração no servidor web, adicionando assim outra barreira à exposição - e tem custo zero para implementar.

    • 25

  2. Supondo que este seja um servidor apache, você já pensou em colocar restrições no diretório?

    <Directory '/var/www/html/uploads'>
    Options -Indexes
    <Limit GET>
        Require user admin
    </Limit>
</Directory>

    Não mostre uma lista de arquivos se alguém tentar navegar no diretório e limitar um HTML GET para alguém logado como administrador.

    • 2

  3. Isso já foi sugerido em um comentário de @Voo, mas esse ponto é tão importante que acho que deveria ser movido para uma caixa de resposta.

    $destination = $_SERVER['DOCUMENT_ROOT']."/../my_secret_folder/".$filename

    Esta é uma boa prática se, e somente se , o usuário da web não puder controlar $filename. Caso contrário, é uma vulnerabilidade de path traversal .

    Considere o que acontece se o cliente criar uma solicitação especial onde $filenameis ../www/index.php. Você acabou de permitir que seu uploader substitua o código de seu aplicativo da web.

    Resista à tentação de resolver esse problema colocando na lista negra valores como /e ..: há maneiras de contornar isso, o link acima lista alguns. A solução canônica para esse problema é (a) escolher você mesmo os nomes dos arquivos ou (b) ter uma lista branca explícita de caracteres permitidos.

    • 0

relate perguntas