0

mi duda es la siguiente:

a través de un botón cualquier usuario que acceda al formulario de mi web puede subir una imagen a una carpeta de imágenes. Esto funciona a la perfección si los permisos de la carpeta son al menos 757. Lo que necesito por seguridad es que puedan subirlo si la carpeta tiene permisos 755.

yo he visto muchos cms que tiene la carpeta para subir documentos y tiene permisos 755. ¿Cómo se hace?

¿No sé que opináis? ¿además de poner la carpeta a 755, que consejos me dais por si alguien intenta subir un Shell o algo así?

un cordial saludo.

1
  • 2
    Agrega el codigo para saber como lo estas haciendo.
    – Xerif
    Commented el 29 sept. 2017 a las 7:45

2 respuestas 2

1

La carpeta donde subes los ficheros, tendría que pertenecer al mismo usuario que el que ejecuta la página web. Es decir si el usuario que ejecuta apache/nginx es www-data, la carpeta tiene que pertenecer a ese usuario.

Con este comando podrás cambiar el propietario:

sudo chown www-data carpeta

Si solo quieres subir imágenes, tendrías que controlar el tipo de fichero que te suben, en PHP hay funciones que lo detectan:

mime_content_type()

http://php.net/manual/es/function.mime-content-type.php

0

Te recomiendo que plantees bien el diseño del algoritmo de subida de archivos. Para comenzar con un buen diseño en seguridad, crea un diseño a base de capas.

Como mínimo:

  • Utiliza la ley de menor privilegio de acceso como primera capa.

  • Comprueba en el lado del cliente si el fichero cumple con las especificaciones requeridas (Extensión etc..) como segunda capa.

  • Comprueba en el lado del servidor si el fichero es quien dice ser, primero, coge los primeros bits del fichero en hexadecimal y comprueba que tiene una cabecera coincidente y aceptable como tercera capa.

Como agregado de fortificación premium:

  • Para agregar una fortificación robusta, necesitas descubrir si a una imagen le han podido incrustar código y eso, salte todas las fortificaciones ya creadas anteriormente. Sería recomendable recorrerse el fichero entero, obtener su hexadecimal y según el formato, calcular si en la imagen exista alguna incongruencia (entre lo que debería ocupar y lo que ocupa, etc..).

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.