EL
Спасибо
Size: a a a
2020 November 10
SM
Не за что.
VP
А че там сегодня эпл покажет?
EL
А че там сегодня эпл покажет?
Презентацию, Валер
EL
Вай-фай приёмник не покажет, подключайся проводом
AK
Саш, как обезопасить себя в такой ситуации?
Пользователь запрашивает с сервера имя файла. Я из get-запроса беру имя запрашиваемого файла и ищу в конкретной папке на своём сервере.
Обезопасить в смысле не отдать случайно что-нибудь не то, если вдруг придёт какой-нибудь хакерский запрос типа "../../../passwords.txt"
Пользователь запрашивает с сервера имя файла. Я из get-запроса беру имя запрашиваемого файла и ищу в конкретной папке на своём сервере.
Обезопасить в смысле не отдать случайно что-нибудь не то, если вдруг придёт какой-нибудь хакерский запрос типа "../../../passwords.txt"
Два варианта. Запрети относительные пути. Всё что с точкой в любом сегменте — нахуй. Резолвь путь в абсолютный и проверяй, что префикс такой, как папка из которой ты раздаешь
EL
Два варианта. Запрети относительные пути. Всё что с точкой в любом сегменте — нахуй. Резолвь путь в абсолютный и проверяй, что префикс такой, как папка из которой ты раздаешь
Спасибо. Да, сделаю оба варианта
SM
Спасибо
Проверка внутри ли:
стрпоз(рилпат(папка) . ДИРЕКТОРИ_СЕПАРАТОР, рилпат(запрошенное)) === 0
тут каждый символ важен (и тройное равно и добавление сепаратора)
стрпоз(рилпат(папка) . ДИРЕКТОРИ_СЕПАРАТОР, рилпат(запрошенное)) === 0
тут каждый символ важен (и тройное равно и добавление сепаратора)
AK
Спасибо. Да, сделаю оба варианта
Да, можно сделать оба. Они друг друга дополняют
AK
Тем более что сделав первый ты можешь проебаться что такое сегмент пути и что в этом сегменте нельзя писать
EL
А кроме точки нет варианта похакать?
EL
Ну, слэш же есть
EL
Мне бы в идеале слэш оставить.
AK
Ну, слэш же есть
Давно о нём ничего не слышал. Он в Челябинске ещё?
EL
Мне бы в идеале слэш оставить.
Чтобы структуру каталога внутри «родительского безопасного» оставить доступной для запроса извне
SM
А кроме точки нет варианта похакать?
Теоретически ещё символьная ссылка (ярлык). Но это если тебя ломанули и с другого конца: 8==👊🏻э
SM
Ну, тип....
EL
Ну пока короче вот так:
$template_path = realpath(__DIR__.'/../../include/templates/').'/' . $request . '.hbs';SM
Ну плюс-минус
EL
Это без проверки, просто сейчас так