UPLOADER DE FICHIER PHP - AVEC GESTION DES FICHIERS

Commentaire de X_Cli le 08/10/2010 13:50:20

Ce genre de script a déjà été codé maintes fois, et de bien meilleure façon. J'ai recensé au moins 3 failles de sécurité qui permettent de renverser la base, injecter du code, ou obtenir un shell.
Je ne suis pas allé plus loin.
L'auteur de cette source à besoin de se documenter sur les sql injections, et les bonnes pratiques d'upload de fichiers, et également sur les bonnes pratiques d'organisation d'un docroot.
Il devrait également retirer la version en ligne avant de se la faire hacker.

Commentaire de X_Cli le 09/10/2010 08:51:46

Il existe déjà des sources qui expliquent très bien l'upload. Il existe déjà des tutoriels qui expliquent les problèmes de sécurité qu'on peut rencontrer, et comment les sécuriser.
Avant de vouloir apprendre aux autres comment faire qqch, il faut apprendre soi même comment les faire, étape que vous avez visiblement omise.
Avec ce bout de code, on peut :
* obtenir directement le fichier sans incrémenter le compteur de clic
* obtenir un fichier et que tous les compteurs soient incrémentés
* obtenir le contenu de la base
* détruire le contenu de la base
* injecter n'importe quel bout de code, par exemple, pour envoyer du spam via ton hébergeur : c'est exactement comme laisser les droits FTP ouverts
* modifier le code source pour recevoir une copie de chaque fichier envoyé
* injecter du code afin d'obtenir un accès "ligne de commande" sur le serveur de l'hébergeur (pour peu que lui aussi ait permis des choses pas normales), et s'en servir comme point de rebond pour effectuer du hacking sur des serveurs réellement importants (et ca sera votre responsabilité qui sera engagée).

En matière de sécurité, il ne faut jamais croire que son code est inoffensif et que ce n'est pas grave s'il peut être attaqué, car souvent, on est qu'un maillon de la chaine d'une plus grosse attaque, dont on se rend involontairement complice.
C'est à cause de ce genre de source que le PHP a la réputation d'être un langage pour gamin : il est facile et toutes les personnes qui pensent savoir pisser deux lignes de code le font. Dans les autres langages, comme Java ou .net, il faut souvent étudier bien plus avant de pouvoir pisser sa première application intéressante. Et qui dit étudier plus, dit éviter des pièges aussi grossiers.
Bien entendu, ce texte n'est pas destiné à l'auteur de cette source qui semble borné, et incapable de se remettre en question.

Commentaire de X_Cli le 09/10/2010 19:49:29

Haha, je vais te faire peur : je suis prof :)
Je n'ai partagé qu'une seule source, mais elle est d'un niveau correct, elle, même si elle n'est pas parfaite, puisque je n'ai pas inclus le support du /31.
La différence, c'est que je ne partage que lorsque mon source a un intérêt. Probablement à méditer.

Commentaire de zeroug le 11/10/2010 08:03:43

En voilà deux qui n'iront pas en vacance ensemble.
(Thierry Roland)

Commentaire de iguypouf le 11/10/2010 14:50:38

Ben non pas un défouloir...

Il a tout à fait raison de souligner qu'il ne faut pas toujours faire confiance en tout. Un type qui va faire son premier site php, va venir ici, internet-generation style, et hop inclut sa classe dans son projet.

Je ne vois pas en quoi il aurait tort de le souligner, pour remettre ça dans son contexte !

Commentaire de X_Cli le 11/10/2010 20:16:43

@Digital1977
Bonsoir,
Non, je ne peux pas. Désolé. Je n'ai pas le temps de faire du libre en ce moment (j'ai mon cours de C à paufiner pour les étudiants de cette année, justement) et c'est un sujet complexe qui demande un travail important, et dont le temps travail est variable suivant ce que l'on veut obtenir. Pour dire à quel point il est complexe, même le développeur principal du framework symfony a fait des erreurs de conception (à mon avis) en implémentant le framework d'upload.
Je peux seulement donner le conseil de retirer le répertoire d'upload du docroot, de regarder du coté de X-Sendfile ou readfile, et de regarder de la documentation sur la sécurisation contre les SQL injections. Une bonne idée serait également de se baser sur le type mime des fichiers car les informations de $_FILES sont aisément falsifiables.

Commentaire de fedebul le 11/10/2010 20:47:43

que pensez vous de http://www.hyla-project.org/ ?