태그 자료실

회원로그인

무료회원가입 보안로그인

아이디/비밀번호찾기

파일 업로드 보안 문제 - 7 가지 모두 체크 !!!

12년 전

1.php,inc,html,htm,phtml,php3 등의 확장자는 절대로 올릴 수 없게 한다 !
.txt 도 못올리게 합니다. .txt 를 사용해서 쿠키를 훔칠수도 있슴다.

2.업로드 디렉토리는 무조건 htdocs 아래 말고 다른 디렉토리 에 올린다 !!
/updir 이나 c:\updir 등 htdocs 와 관련이 없는 디렉토리에 올리게 한다. !!

3.CP명령을 사용시에 exec(cp $file , 처럼 exec() 를 절대로 사용하지 말아야 한다.
기냥 cp()만을 사용하라 !!!
www.php.net/cp

4.REQUEST_METHOD!="POST" 로 체크 해서 올리기
POST 가 아닐 경우 올리지 못하게 !!!
form 에서 method=get 으로 절대 절대 하지 마세요 !!!
php.ini 에서 register_globals=off 라면
$HTTP_SERVER_VARS['REQUEST_METHOD'] 로 출력 해야 합니당..ㅋㅋㅋ

<?php

if ($submit) {
    if ($REQUEST_METHOD == 'POST') {
        // 정상 실행
    }
    else {
         echo 'get 값은 받지 않아요 !!';
    }
else {
    echo '훔....잘못된 입력 !!!';
}

?>

5.파일명이 pass 나 shadow 나 리눅스 시스템 파일일 경우는 올리지 못하게 하기 위해
파일명 중에 pass 나 shadow 등이 있을 경우 올리지 못하게 !!!
그러니까 koreapass.zip 파일 같은 것도 올라가지 않겟죠 ^^
그래도 보안을 위해서라면 ^^ /etc/passwd 파일(리눅스 파일)의 업로딩을 방지 합니다.

그러니까 upload.php 파일을 이용하여 주소표시줄에서
upload.php?file_name=/etc/passwd&file_type=text&file_size=30
등으로 해서 해킹할 시스템의 passwd 파일을 자료실에 올리고 다운 받을 수 있다고 합니다.
그래서 취한 조치 입니다.

6.또는 file_exists($file_name) 를 사용하여 체크 합니다. 로컬시스템에 파일이 있으면 절대 못올리게
합니다 ^^ /etc/passwd 파일의 업로딩을 방지 합니다.

7. PHP 4.1.2 최신 버전 말고는 모두 파일 업로드 버그가 존재 한다고 합니다.

PHP4.1.2 버젼 설치 하세용 !!!

추천 목록

번호	제목
2,135	[jQuery] $(document).ready(function(){});
2,134	FIELDSET 태그를 이용하면 때에 따라 깔끔한 테이블을 만들 수 있다
2,133	overflow : hidden , text-overflow : ellipsis (글의 길이가 칸의 길이를 넘어갈 경우 ... 로 대체 )
2,132	linux command 리눅스 활용 명령들..
2,131	한글 앞부터 자르기
2,130	phpquery
2,129	보안을 위한 php 함수 제한
2,128	SSH 공격 아이피 필터링 스크립트(recent IP 기반)
2,127	IE6부터 IE9까지 대응하기.
2,126	UTF-8 체크 및 변환
2,125	mysql에서 한글이 깨질때 즉 문자셋이 맞지 않을때
2,124	XDebug를 이용한 PHP 디버깅
2,123	php xml parse 3종 세트
2,122	php 내장함수을 이용한 XML Parser
2,121	Mysql 날짜/시간 관련 함수
2,120	HTML 웹문서의 TAG 지우고 본문만 남기기, php 명령모드에서 실행하기
2,119	태그 제거 함수 strip_tags2 & 링크 추출 함수 extract_link
2,118	PHP 기반 웹 탐색기 비교
2,117	escape(), encodeURI(), encodeURIComponent() 차이점
2,116	PHP 확장자 숨기기
2,115	PHP 에러 출력 안하기
2,114	phpinfo() 를 숨겨라...
2,113	HTML 태그를 막기
	파일 업로드 보안 문제 - 7 가지 모두 체크 !!!
2,111	zend encode 를 사용하지 않고 PHP 소스 안보이게 하는 방법 ?
2,110	반드시 알아아 할 PHP 보안 30 가지
2,109	php HereDoc(EDO)문자 사용법
2,108	php UserDir 유저별 서비스
2,107	리눅스 PATH 경로 설정하기
2,106	mysql 테이블 복제 하기 (구조 또는 데이터 모두)