倍増は拡張チェックルールをバイパスします

Question

多くの記事では、ブラックリストの代わりに拡張子のホワイトリストを準備する方が良いとファイルアップロードのセキュリティについて言われています。しかし、このメソッドは二重拡張ファイルに何らかの問題があるようです。例えば、私は 'pdf'、 'doc'、 'docx'のようなホワイトリストを持っていますが、この白いリストはapple.php.docまたはapple.doc.phpに対してtrueを返します。

安全な拡張機能を作成するにはどうすればよいですか？

Answer 1

あなたはこの理由を理解しようとする必要があり、あなたの質問はどんな意味がありません。

特定の拡張子を許可しない理由は、（Apacheのような）一部のウェブサーバーが、それらのファイルに基づいたサーバーの方法を決定するからです。もちろん、公然と提供しているディレクトリ内のファイルアップロードされたファイルがそこに行く時間は、サーバーが.phpのように実行する拡張機能を許可すると、Web上のランダムな人があなたのサイトにコードを挿入できるようになります。

拡張子がまだ.docであり、サーバーがそのように扱うため、.php.docでは発生しません。

ディレクトリ内の特定のファイルを実行しないようにWebサーバーを設定することはできますが、デフォルトではなく、実際にはほとんどそうではありません。

Answer 2

使用このコードを拡張は良好であるかどうかを確認する：

$valid_exts = array('doc', 'pdf'); 
if (in_array(pathinfo($filename, PATHINFO_EXTENSION), $valid_exts)) { 
    // everything is fine 
} else { 
    // not fine 
}