проверка данных при использовании функции getimagesize()

[SiMM]

Цитата antonn @ 16.10.07, 19:30

а как через av56517vx4.jpg вывести это phpinfo? мне показывает просто картинку...

Сохранить как + смотреть любым текстовым или hex-редактором.

Цитата antonn @ 16.10.07, 19:30

картинки не спутаны?

Нет, не спутаны.

<?php // test.php
function verify_image($file) { ... } // код см. выше
var_dump(verify_image('http://img80.imageshack.us/img80/7313/av56517vx4.jpg'));
var_dump(verify_image('http://img84.imageshack.us/img84/5640/av56517lw8.jpg'));
eval('?>'.file_get_contents('http://img80.imageshack.us/img80/7313/av56517vx4.jpg'));
?>

В консоли:

> php -q test.php
bool(true)
bool(false)
 ╪ э 2Photoshop 3.0 8BIM♦♦     ▬∟☻t ◄phpinfo()
PHP Version => ...

[antonn]

Demon_id
Умно. Всего навсего выложить на сервер с расширением php... мелочи, как два пальца..

Я уже сам допер, что если ее проинклудить, то выполнится. Осталось понять, кому придет в голову инклудить картинки (тот факт, что некоторые не проверяют get-post и инклудят из него, во внимание не принимаю в связи с его полнейшим идиотством).
Кстати, вопрос по той же части, как запретить выполенение скрипта в определенной папке? Не вызов его напрямую, а обычный инклуд из скрипта в корне. Пусть выводится как текст, но не выполняется.

[SiMM]

Цитата antonn @ 16.10.07, 19:52

Я уже сам допер, что если ее проинклудить, то выполнится. Осталось понять, кому придет в голову инклудить картинки (тот факт, что некоторые не проверяют get-post и инклудят из него, во внимание не принимаю в связи с его полнейшим идиотством).

Инклудить необязательно - достаточно залить файл с расширением php через форму - если файл в итоге окажется в доступном для запуска php-скриптов месте, а расширение так же останется php - выполнить его - труда не составит. Как видите, всякие функции проверки валидности содержимого файла - совершенно бесполезны.

Цитата antonn @ 16.10.07, 19:52

Кстати, вопрос по той же части, как запретить выполенение скрипта в определенной папке?

Если речь о PHP - то
php_value engine Off
если я не ошибаюсь.

Цитата antonn @ 16.10.07, 19:52

Не вызов его напрямую, а обычный инклуд из скрипта в корне.

Не надо инклудить то, что заливается пользователями. Никогда. В этом нет никакой необходимости.

Добавлено 16.10.07, 20:02
Похоже, не ошибаюсь. http://www.php.net/manual/en/ref.apache.php#ini.engine

Цитата SiMM @ 16.10.07, 19:58

Не надо инклудить то, что заливается пользователями. Никогда. В этом нет никакой необходимости.

А для вывода файлов пользователя существуют предназначенные для этого функции - include для этого не предназначен.

Сообщение отредактировано: SiMM - 16.10.07, 20:02

[antonn]

если на сервер можно залить файл с расширением, которое выполняет php, и в этой папке есть возможность вызова скрипта - это значит что писавший данный скрипт либо начинающий, либо дурак, настолько банальные факторы я в расчет не беру. Предполагается, что человек хотя бы через htaccess закрыл выполнение скрипта в папке.
Кстати, verify_image пропустила обе картинки...

php_value engine Off - это в htaccess? пойду поищу..

Цитата

Не надо инклудить то, что заливается пользователями. Никогда. В этом нет никакой необходимости.

да ну? а я думал можно. И спросил совсем не из интереса и желания что то узнать, просто кисти рук разминаю, всякую фигню набираю...

хм, php_flag engine off и все равно инклудящийся файл выполняется. Но у меня 5 версия, от этого не зависит?

Сообщение отредактировано: antonn - 16.10.07, 20:10

[Pr0[)!9Y]

Цитата antonn @ 16.10.07, 20:09

да ну? а я думал можно.

Можно, но не нужно. Для вывода файла например есть http://php.net/readfile

Добавлено 16.10.07, 20:23

Цитата antonn @ 16.10.07, 20:09

хм, php_flag engine off и все равно инклудящийся файл выполняется.

Объясни каким образом может так получится что ты будешь инклюдить картинку?
Если уж так надо, смотри выше.

Сообщение отредактировано: Pr0[)!9Y - 16.10.07, 20:23

[antonn]

Причем тут инклуд картинки, мне просто интересно, можно ли запретить вообще запретить выполнять скрипты, лежащие в определенной папке. Будут они вызваны напрямую или проинклудятся - не важно.
в htaccess php_flag engine off - выполняются проинклуженные

[Pr0[)!9Y]

Цитата antonn @ 16.10.07, 20:25

в htaccess php_flag engine off - выполняются проинклуженные

Нутк естественно, выполняется с помощью инклюда все что можно прочесть(включая хттп).

[SiMM]

Цитата antonn @ 16.10.07, 20:09

если на сервер можно залить файл с расширением, которое выполняет php, и в этой папке есть возможность вызова скрипта - это значит что писавший данный скрипт либо начинающий, либо дурак

К сожалению, этот либо начинающий, либо дурак, чаще всего считает себя далеко неначинающим и не дураком Достаточно даже на эту тему взглянуть - Кулибиных набралось хоть отбавляй

Цитата antonn @ 16.10.07, 20:09

хм, php_flag engine off и все равно инклудящийся файл выполняется. Но у меня 5 версия, от этого не зависит?

Проверил - работает. Правда проверял под php модулем, возможно, в CGI это работать не будет.

Цитата antonn @ 16.10.07, 20:09

Кстати, verify_image пропустила обе картинки...

[telepat mode]

error_reporting(E_ALL);

[/telepat mode]

[Pr0[)!9Y]

Хотя имхо вообще странный вопрос, ты же должен знать что, когдаб откуда и зачем инклюдишь

[SiMM]

Цитата antonn @ 16.10.07, 20:25

в htaccess

Вообще-то файл должен называться .htaccess, а не htaccess.

[Pr0[)!9Y]

Цитата SiMM @ 16.10.07, 20:28

Правда проверял под php модулем, возможно, в CGI это работать не будет.

http://www.php.net/manual/en/configuration.changes.php#configuration.changes.apache судя по ссылке, не возможно, а точно действовать не будет.

[antonn]

Цитата

Нутк естественно, выполняется с помощью инклюда все что можно прочесть(включая хттп).

воот, мне то как раз и хотелось знать, воможно это или нет

cgi не трогаю.

Цитата

Хотя имхо вообще странный вопрос, ты же должен знать что, когдаб откуда и зачем инклюдишь

блин, ну интересно стало, чего плохого? я и так знаю, куда что инклужу, более того, я нигде никогда не инклужу через переменные (без всяких get/post и тп, фиксированый список скриптов, "набраный ручками"). Ну вот интересно стало, могу ли я запретить любое выполение из определенной папки

Цитата

Вообще-то файл должен называться .htaccess, а не htaccess.

я думаю, что мы поняли о каком файле идет речь?

[SiMM]

Цитата antonn @ 16.10.07, 21:32

я думаю, что мы поняли о каком файле идет речь?

Вообще-то если у Вас не работает - описывать свои действия надо максимально точно, а не так, чтобы люди догадывались, что Вы имеете в виду.

Добавлено 17.10.07, 02:42

Цитата antonn @ 16.10.07, 21:32

Ну вот интересно стало, могу ли я запретить любое выполение из определенной папки

Где лежит мануал, думаю, Вам известно - не нашли такой функциональности - значит, нельзя.

[antonn]

Цитата

Вообще-то если у Вас не работает - описывать свои действия надо максимально точно, а не так, чтобы люди догадывались, что Вы имеете в виду.

странно, о каком еще файле можно было подумать?

Цитата

Где лежит мануал, думаю, Вам известно - не нашли такой функциональности - значит, нельзя.

с таким подходом и форум не нужен, есть мануал...

[SiMM]

Цитата antonn @ 17.10.07, 04:31

с таким подходом и форум не нужен, есть мануал...

А почему Вы думаете, что кто-то будет за Вас искать нужный Вам функционал, который никому, кроме Вас, не нужен?