PHP cкрипт загрузки файлов на сервер. Как избежать уязвимости скрипта ?

Умные мысли думал получить... у вы...

Для тех кто в каске повторяю пропускаем только картинки( jpg, gif, и.тд.)

Вода водянистая а мосло масленное...

edogs, Спасибо за помошь в дибатах....

P.S Одной проверки мало..

Извините, пропустили.

В таком случае наиболее правильный вариант использовать getimagesize, тогда Вы будете уверены не только в том, что это файл с расширением "картинка", но и он сам является картинкой. А иногда важно и это.

И перед записью файла на диск - сделайте фильтрацию имени в обязательном порядке на недопустимые символы. Русские лучше вообще в транслит перегнать, что бы потом проблем с некоторыми буквами не иметь под юниксом. В идеале - лучше вообще удалить все символы кроме строго допустимых.

Расширение тоже надо проверять, но лучше не той функцией (strrchr) что у Вас в примере, так как она будет проверять только то, что идет после последней точки. Ибо в общем случае, файлы например script.php.mmf вполне могут обрабатываться интерпретатором php (да, мы понимаем что по проверке jpeg это не пройдет, но мы в принципе о возможности двойных расширений - лучше перестраховаться). И даже если файл картинка - ничего хорошего в запуске интерпретатора для нее нету.

Поэтому лучше strchr или опять же - фильтрация имени файла на предмет точек после отброса расширения.

черевато на некоторых версиях PHP

забыли упомянуть про формат GIF..

Это только 1-й фильтр..

Не надо экономить на хостинге. Другого нормального способа проверить картинка ли у Вас - нет.

getimagesize поддерживает gif формат... на нормальных хостерах.

Сервак зависнуть может напрочь :)

Я не про то вообще...если вы этого не знаете ...то я лучше промолчу..

Мы говорили про нормальных хостеров.

Да уж, лучше бы Вы промолчали, чем в телепатию играть.

За сим разрешаем себе откланяться.

Надеемся сможете воспользоваться советами, если топик Вы для получения оных создали.