securité serveur & upload

bonjour,

Une petite question me passe par la tête, et je crois avoir aperçu un sujet dans ce sens il y a quelques temps de cela.

Cette question, c'est avant tout pout la sécurité du coté serveur.

Est il possible de creer un fichier php, de le renomer en gif, de l'uploader sur un serveur et, au clic du faut fichier.gif, il revient .php et exécute une requète ?

merci

Pas exactement.
Si tu veut exécuter une requête dans un fichier php grâce à une image, il suffit de creer une image gif en GD dans ton fichier php et de l'utiliser comme une image, comme cela à chaque affichage de ton image ta requête sera exécutée !


Citt_jr
Bats toi avec les meilleurs, crève avec le reste
http://www.tsubara.net

oula j'ai pas tout compris...

c'est quoi

Met ce script dans un fichier php est execute le, tu verra cela affiche une image png. Tu pourra appeler ce script dans une balise image.

Il suffit de mettre après le imagedestroy($im); l'exécution de ta requête.

Citt_jr
Bats toi avec les meilleurs, crève avec le reste
http://www.tsubara.net

je l'ai intégré dans une page php existante, et rien n'apparait

Tu ne peut pas le mettre dans une page déjà existante, il faut que ce soit une page à part.

Citt_jr
Bats toi avec les meilleurs, crève avec le reste
http://www.tsubara.net

Salut,


Non.

Bon a savoir : apache se base sur les extensions des fichiers pour définir son comportement, un fichier .png, .jpg ou autre contenant en réalité du code malicieux ne pose pas en soi de réel problème de sécurité car le code ne sera jamais exécuté (sauf si apache à été configuré avec les pieds, et malheureusement ça arrive...). Cependant, ceci rend tout de même possible l'exploitation d'une éventuelle faille d'inclusion si elle existe et que l'intérêt y est. Bref, une bonne prévention est déjà de limiter les extensions de fichiers uniquement aux extensions explicitement autorisées (et tant qu'on y est faire attention aux .php.png par exemple, je ne sais plus si ça peut jouer m'enfin bon).