5

Estoy haciendo un sistema de subir archivos pero quiero evitar que suban archivos

shell o virus para atacar la pagina

pero como hago eso?

$file = $_FILES["file"];

move_uploaded_file($file["tmp_name"], "archivos/$user_username/" . $file["name"]);

1 respuesta 1

10

Puedes hacer que el input que recibe los archivos sólo acepte algunos tipos (por ejemplo sólo imágenes). Esa es la solución más obvia, pero tú te estás poniendo en el caso de que alguien simplemente renombre un ejecutable. Yo diría que hay tres caminos que no son mutuamente excluyentes

Verificar el mime-type en el browser

Cuando alguien sube un archivo al input, antes de enviarlo, tú puedes ejecutar una comprobación. Leer el archivo como binario y revisar sus magic bytes para verificar si realmente es lo que dice ser. Acá no basta fiarse de lo que el browser cree que es, porque simplemente mapea la extensión a un diccionario. Revisa esta respuesta para ver como usar un objeto FileReader y diagnosticar el mime-type real.

Verificar el mime-type en el servidor

Dependiendo de qué versión de PHP tengas, la extensión FileInfo puede venir incorporada en el paquete php-common o bien habría que instalarla usando PECL. En uno u otro caso, esta función te permite verificar que el archivo subido es lo que dice ser.

Por ejemplo:

  • Tengo un archivo info.php cuyo contenido es simplemente <?php phpinfo();
  • Lo renombro a info.jpg
  • Lo subo y todos creen que es una imagen

Al recibirlo con el servidor, tú puedes hacer:

$file = $_FILES["file"];
$finfo = finfo_open(FILEINFO_MIME_TYPE);
echo finfo_file($finfo,$file["tmp_name"]);
finfo_close($finfo);

Y por mucho que la persona haya renombrado su archivo a otra extensión, ese script te dirá que el mime-type es text/x-php.

No ejecutar archivos con otras extensiones

Puedes configurar tu webserver para que los archivos .php se pasen via fastcgi al intérprete, mientras que cualquier otro tipo se sirve como estático, si es que existe. Por ejemplo, usando nginx:

 # si existe y no es php, se sirve. Si no, error 404
 location / {
           try_files $uri $uri/ =404;
 }

 # si es .php esta regla tiene prioridad. 
 location ~* \.php$ {
    fastcgi_pass unix:/run/php/php7.0-fpm.sock;
    include         fastcgi_params;
    fastcgi_param   SCRIPT_FILENAME    $document_root$fastcgi_script_name;
    fastcgi_param   SCRIPT_NAME        $fastcgi_script_name;
  }

Con esto un atacante que suba un php renombrado no podrá ejecutarlo. A lo más verá el código del archivo que acaba de subir.

Importante

Tanto si usas la validación en el browser como si te vales del webserver, en realidad estos métodos no impiden que alguien haga un POST a tu backend saltándose las validaciones. Tu input no deja subir un archivo shell.php pero su input sí (incluso, podrían hacerlo alterando tu formulario desde la consola). En otras palabras se diría que lo más sensato es usar la verificación del lado del servidor.

Finalmente, en teoría bastaría con que los archivos subidos no tengan permiso de ejecución, sino sólo de lectura (y quizá escritura) pero esto no es a prueba de balas. Si en otra parte de tu sitio tienes un include que pueda ser manipulable con un parámetro de la url, pueden ejecutar igual lo que acaban de subir.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.