Dotaz: Apache antihack konfigurace

[Michal2]

Ahoj,

jak mam nastavit apache aby pomoci php parseru zpracovaval pouze *.php a soubory typu *.php.neco nechaval byt?

V konfiguraci mam normalne AddHandler php5-script .php jak radi v navodech a kdyz nahraju na server test.php.gif s nejakym php kodem tak to normalne projde a zpracovava se jako kdyby to byl .php coz asi bude treba v pripade verejne galerie bezpecnostni dira jako krava. Jak proti tomu bojovat?

Odpovědi

[zoul]

Možná by pomohlo uploadované soubory dávat do samostatného adresáře, na kterém bys pomocí RemoveHandler zakázal provádění PHP skriptů?

[Michal2]

To je dobre reseni. Diky!

[Michal Kubeček]

Mně se tak Apache nechová a nevidím důvod, proč by měl. Problém bude asi někde jinde než v této direktivě.

[zoul]

Podle dokumentace vypadá, že by se tak klidně chovat mohl. (Viz „Files with Multiple Extensions“ hned na začátku.)

[Michal2]

Skuste zjistit cim to je, ze se tak nechova. Implicitne se tak totiz chova urcite. Vyzkouseno na vice mistech.

[Filip Jirsák]

V konfiguraci mam normalne AddHandler php5-script .php jak radi v navodech a kdyz nahraju na server test.php.gif s nejakym php kodem tak to normalne projde a zpracovava se jako kdyby to byl .php coz asi bude treba v pripade verejne galerie bezpecnostni dira jako krava.

A když do té veřejné galerie někdo nahraje obrázek s názvem test.php, bude to lepší?

[Michal2]

Nenahraje protoze povolene pripony jsou jen ".gif", ".png", ".jpeg" a ".jpg" krom toho obrazek musi projit pres GD getimagesize() tim ale specialne upraveny soubor s gif hlavickou a php obsahem v pohode projde take...