Linker - môj jednoduchy uložný systém súborov

1.9.2013 16:06 | Přečteno: 2140× | poslední úprava: 1.9.2013 16:13

Chcem sa podeliť o svoj uložný systém Linker, ktorý slúži upload súborov na web a ich následne stiahnutie, pripadne prezretie obrazkov.

 

system je flexibilny pozostava s 2 nezavislych priecinkov

 

files/ - tu su data

linker/ - tu su webove stranky

 

vsetko je to nakodene v Php takze je potrebne na servery mat nahodene Php, databaza nie je potrebna

 

nastavenie uzivatelov, pristupovych prav a hesiel je v config.php

 

je mozne priradit danemu uzivatelovy bud ci je public, private alebo picture

taktiez subory s koncovkou *.urls sa nezobrazi odkaz na ne ale parsuje sa obsah a ten sa vyhodi ako linky

ak je subor.txt a subor.txt.xxx tak to xxx je popisny subor pre subor.txt

 

projekt je sireny pod MIT licenciou teda robte si s tym uplne co chcete len nechajtetam moje meno teda autorstvo - este pridam ze pre inspiraciu som pouzil jeden projekt s nazvom Ulozisko od mojho znameho, ktory je teraz uz dost upraveny

 

tu su zdrojove kody projektu linker:  http://www.linuxaci.6f.sk/fubox/lukves/linker.tar.gz

tu je ukazka:  http://www.linuxaci.6f.sk/linker

       

Komentáře

[|🇵🇸]

Umí to i hypertext? O_o

[lukve]

nie len klasicky vycucne riadok po riadku a hodi do  <a href=""

chcem spravit mozno aby namiesto zobrazenia obsahu aby sa po kliknuti automaticky otvorili linky v prehliadaci

[lukve]

samozrejme mozes s ito dat ako private a tym padom mas chraneny priestor

 

zatial search nie je chranena a prehliadava aj ked uzivatel je nastaveny ako private

[Winston Smith]

Ludia z Dropboxu, SkyDrive, GDrive ci Mega prave spachali hromadne harakiri...

[Max]

Několik dotazů.
1) Umí to navázat na předchozí přerušené uploadování?
2) Funguje to na standardně nastaveném LAMP? Nemusí se u php zbytečně zvyšovat paměťové limity apod.?
3) Tady navazuji na dvě předchozí otázky : jak se to chová třeba k 8GiB souboru?
Díky
Zdar Max
PS:známý právě něco podobného řešil a dal si právě práci se vším tímto, ale zatím jen využívá jen pro zákazníky ...

[b4aa9]

Jak resil upload? Jenom protoze jsem ted presne tohle taky resil...

Zdar b4aa9

[lukve]

<form action="<?php 

echo ("index.php?page=upload");
//$_SERVER['PHP_SELF']; 
?>" method="post" name="fileForm" id="fileForm" enctype="multipart/form-data">
<h3>
<?php     
echo "Upload súborov pre " . $meno
?>
</h3>        <br/> <br/>
<table>
<tr><td><input style="border: 2px solid #DFDFDF;"
name="upfile" type="file" size="26">
<input style="background: #FFFFFF" class="text" type="submit" name="submitBtn" value="Upload"></td></tr>
</table> 
</form>

<?php    
if (isset($_POST['submitBtn'])){
?>

<div id="result">
<table width="100%">

<?php
$target_dir =  $uploadLocation . $meno . "/";
if (!file_exists($target_dir )) {
mkdir($target_dir);
}
$target_path = $target_dir . basename( $_FILES['upfile']['name']);
$blacklist = array(".php.", ".php", ".phtml", ".php3", ".php4", ".php5", ".js", ".shtml", ".pl" ,".py" ,".xyz",".sh");
foreach ($blacklist as $file) 
{
if(strpos($_FILES['upfile']['name'], $file)!==false)     
{
echo "Chyba: Tento typ súboru je zakázané uploadovať.\n";
exit;
}
}
if(move_uploaded_file($_FILES['upfile']['tmp_name'], $target_path)) {
echo $Web . $target_dir .  basename( $_FILES['upfile']['name']);
} else{
echo "Počas nahrávania nastala chyba!";
}
?>

</table>
</div>
<?php            
}
?>

[lukve]

v korenovom priecinku musis mat subory

 

.htaccess

{

RewriteEngine off
RewriteRule .* index.html

Options -Indexes

}

.ftpqutoa

{

39 500815957

}

[Salamek]

em... nahravani bigfile se uz takhle rozhodne nedela...

Zvladnu nahrat 8GiB file s defaultni konfiguraci php/apache (8MiB max upload size) bez jakychkoliv direktiv v .htaccess

Uhadnes jak ?

[Jirka]

Flash vole?

[Salamek]

Plupload piiičo
Ve skutečnostni ma několik backendu pro uskutečnění chunked multiuploadu, od HTML5 pres Flash po stupidni Silverlight coz zarucuje funkcnost temer vsude.

[lukve]

to zvladnem aj ja kebyze by som pouzil PHPcurl ale nechcemto zbytocne robit zlozite :D :D :D

[b4aa9]

Dik, i kdyz jsem spis myslel resumable upload...

[Max]

Napsal si něco vlastního v HTML5 a funguje mu drag&drop. jediný, s čím měl problém, byl IE. Na to by musel použít flash a to se mu už ve finále moc nechtělo.
Zdar Max

[Bystroushaak]

Ten kód je teda docela drsnej (a to ani nenarážím na mixování cammelCase s_podtržítky). Jak se bráníš proti nahrání .htaccess, který spustí shell, nebo si dodefinuje vlastní typy spustitelných souborů?

[Max]

Mno, pokud je to vlastní server tak se tomu dá zabránit právy :)
Zdar Max

[Salamek]

Nechci znit jako nejakej bastard... ale ten codestyle a navrh cele aplikace...
Jedine co se mi libi je desing, i kdyz mas spatne barvy pisma (Jde prd videt vse splyva) Chce to jeste nejaky skill

[Salamek]

A uplne prvne bych zacal s HTML a css

pouzivas tag center ktery je zastaraly a v kodu mas i script end tag bez start tagu obrazky bez ALT, inline styly, michas anglicke a slovencke nazvy, hledani souboru pres readir neni dobry napad
pouzivat cool/nice urls taky neni k zahozeni

OMFG:

 if  ( (strpos($file, ".png")!==false)  
			||  (strpos($file, ".jpg")!==false) 
			|| (strpos($file, ".jpeg")!==false) 
			|| (strpos($file, ".PNG")!==false) 
			|| (strpos($file, ".JPG")!==false) )

Promin, ale uz zacinam chapat proc se o php(programatorech) rika to co se rika... osobne obdivuji tvou odvahu neco takoveho uverejnit a podepsat se pod to...

[lukve]

no jasne niekde su aj horsie casti sposobene mojou urovnou programovania, mam tam ale osetrene take veci aby sa nedalo nahrat html, php ci iny subor napriklad a je to stale vo vyvoji. nejako som si zvykol pouzivat center, stary zlozvyk budem to musiet nahradit cez div

[klingger]

Čiže keď nahrám súbor zmazem-ti-disk.png.sh je to OK?

[lukve]

nezmazes :D

[klingger]

Ja viem že nezmažem, ale pointa je inde. Pri tom ako to testuješ stačí kdekoľvek vložiť do názvu ".png" a nahrám tam ty súbory aký budem chcieť.

[Salamek]

Kod co jsem postnul vyse slouzi ke zjisteni zda li se jedna o obrazek, i tak je pekne blbe, Tento kod kontroluje uploaded files:

$target_path = $target_dir . basename( $_FILES['upfile']['name']);
$blacklist = array(".php.", ".php", ".phtml", ".php3", ".php4", ".php5", ".js", ".shtml", ".pl" ,".py" ,".xyz",".sh");
foreach ($blacklist as $file) 
{
if(strpos($_FILES['upfile']['name'], $file)!==false)	
{
echo "Chyba: Tento typ súboru je zakázané uploadovať.\n";
exit;
}
}

Tzn kdyz nahravany file obsahuje v nazvu neco z $blacklist tak se jde do exitu; (Hodne spatnej spusob jak ukoncit upload) i cela implementace je spatne, ale ucel plni, i kdyz ma bug a to takovy ze neprojde naprosto validni obrazek "ahoj.sh.jpg"

[|🇵🇸]

To v PHP nejde testovat konec řetězce?

[Salamek]

Jasne ze jde, jen tvurce tohoto blogu to nevi...

Cely ten kod je spatne, takhle by mel nejak vypadat:

$target_path = $target_dir . basename( $_FILES['upfile']['name']);
$blacklist = array("php", "phtml", "php3", "php4", "php5", "js", "shtml", "pl", "py", "xyz", "sh", "htaccess");
$pathinfo = pathinfo($target_path);
if(!in_array($pathinfo['extension'], $blacklist))
{
  //Continue in upload
}
else
{
  //Error
}

A samozrejme pro jistotu slozku se soubory zamknout pres .htaccess aby se v ni nedaly spustit PHP scripty + nenechavat souborum jejich puvodni jmena a pripony, udelat takovy mini VFS

[Bystroushaak]

Cely ten kod je spatne

Celý ten kód je blbě z vícero důvodů. Čas mě přesvědčil, že jediný bezpečný způsob je vygenerovat nějaké náhodné jméno (md5+sha1 třeba), pod kterým soubor uložím. Do databáze si pak uložím původní jméno, pod kterým ten soubor nabídnu zase ke stažení. Je to trochu složité, ale alespoň to netrpí neduhama všech možných blacklistů.

if(!in_array($pathinfo['extension'], $blacklist))

Uvedený kód je náchylný na staré dobré soubor.php%00.jpg, ne?

[Salamek]

Ne touto chybou to netrpi, tedy alespon u PHP 5.3.6>

print_r(pathinfo('soubor.php%00.jpg'));

Array ( [dirname] => . [basename] => soubor.php%00.jpg [extension] => jpg [filename] => soubor.php%00 )

jinak kdyz neco takoveho delam tak take pouzivam DB do krete pri upload ulozim priponu, mime, size, a sha1 souboru a zda li je img, soubor ukladam jako sha1 bez pripony

[AraxoN]

%00 musí byť v URL alebo v URL-encoded dátach. PHP to potom preklopí na znak "\0". S tým vie síce PHP pracovať v pohode, ale keď volá C-éčkové API systému ako fopen(), tak pre tie už "\0" znamená koniec reťazca. To znamená, že pri vytváraní súboru "soubor.php\0.jpg" sa pri PHP kontrole zdá, že je to koncovka ".jpg", ale na disk sa dostane už len "soubor.php". Ten keď sa dostane do viditeľnej časti webu, tak si ho práve úspešne hackol.

[Salamek]

jo to je nul terminator, me nenapadlo... dalsi duvod proc nepouzivat puvodni nazvy pro files

[Bystroushaak]

Teď jsem našel:

NULL byte poisoning was fixed in PHP 5.3.4

Takže je to ok, pokud nepoužije starší verzi :)

[skywaker]

moj kod hlada string .php v celom retazci takze

$target_path = $target_dir . basename( $_FILES['upfile']['name']); $blacklist = array(".php.", ".php", ".phtml", ".php3", ".php4", ".php5", ".js", ".shtml", ".pl" ,".py" ,".xyz",".sh"); foreach ($blacklist as $file) { if(strpos($_FILES['upfile']['name'], $file)!==false) { echo "Chyba: Tento typ súboru je zakázané uploadovať.\n"; exit; } }

som za vodou, jednoducho ja viem koli comu som to nakodil takto a nie in_array

[Salamek]

ne, je to spatne... detekce extenze a in array je mnohem lepsi, hledat php v celem stringu je blbost nejvetsiho kalibru, rekni mi jak nahrajes naprosto neskodny obrazek co se jmenuje ahoj.php.jpg ?

[skywaker]

nenahrajem :D

[nelson]

Proč že se zakazuje .xyz .. ? http://en.wikipedia.org/wiki/XYZ_file_format

[Bystroushaak]

Protože ten kód stejně nedává smysl. Když vidím tu ukázku, tak se vsadím, že tam stejně bude spousta dalších děr, takže proč nezakázat nějakou random příponu.

[:::]

Čiže keď nahrám súbor zmazem-ti-disk.png.sh je to OK?

Proc by to nebylo ok? To ze ho nahraju jeste neznamena ze ho spustim...

[klingger]

Asi som to mal pomenovať ináč, lebo každý sa chytá toho názvu a nevšíma si čo som tým chcel povedať.

Ide o to že ten test nezaručuje že testovaný súbor bude naozaj obrázok, ale že to môže byť prakticky čokoľvek.

[:::]

Jo, to je pravda ze te 'skywaker'uv test nebude fungovat tak jak to asi chtel. At uz ho tam ma z jakyhokoli duvodu.