테스트 사이트 - 개발 중인 베타 버전입니다

[php] 파일업로드 확장자 체크하기


자주필요한것 같아서 올려봅니다.


[출처] http://habony.tistory.com/219#.U3oAGtJ_trA

파일 업로드시 php 나 html 등 위험한 파일은 보통 제한하게 됩니다. 그래서 다양한 방법으로 허용가능 파일인지 체크 스크립트를 작성해 주는데, 문제는 잘못된 체크방법으로 개발자도 모르는 우회하여 파일을 업로드됩니다.

예제 (ex #1
 <?php  
 $filename 
"test.php."

 $ext array_pop(explode("."strtolower($filename
)));

 if(@ereg($ext"php|php3|php4|htm|inc|html")){ 
        echo 
"죄송합니다. php, html 파일은 업로드가 제한됩니다."

 } 
 ?>

아무 문제가 없어 보이지만, 실은 php. 나 htm. gif. 등 모두 실행 가능한 파일임을 알아 둘 필요가 있습니다. 그러므로 다음 같이 한번더 체크해서 공격자가 우회하지 못하게 해주는게 좋습니다.

예제 (ex #2
 <?php  
 $filename 
"test.gif.bmp.php."

 $ext explode("."strtolower($filename
)); 

 $cnt count($ext)-1

 if(
$ext[$cnt] === ""
){ 
    if(@
ereg($ext[$cnt-1], "php|php3|php4|htm|inc|html"
)){ 
        echo 
"죄송합니다. php, html 파일은 업로드가 제한됩니다."

    } 
 } else if(@
ereg($ext[$cnt], "php|php3|php4|htm|inc|html"
)){ 
        echo 
"죄송합니다. php, html 파일은 업로드가 제한됩니다."

 } 
 ?>

댓글 작성

댓글을 작성하시려면 로그인이 필요합니다.

로그인하기

댓글 2개

파일 업로드시 확장자만 체크 하는것 말고
좀더 보안을 강화 할 수 있는 방법 없을 까요??
확장자 체크는 그냥 확장자만 바꾸면 되는 일인지라.
그렇다면 mime type을 체크하면 될거 같습니다.

게시글 목록

번호 제목
32341
32339
32326
32325
32322
32319
32318
32316
32315
32313
32312
32311
32310
32304
32303
32300
32293
32292
32291
32285
32284
32275
32271
32268
32265
32261
32258
32257
32255
32254
32253
32251
32250
32249
32247
32246
32245
32244
32243
32242
32241
32240
32239
32238
32237
32236
32232
32229
32228
32227
32217
32215
32214
32213
32211
32207
32196
32193
32192
32190
32188
32186
32184
32173
32172
32171
32167
32165
32163
32162
32158
32157
32155
32151
32149
32135
32132
32127
32125
32122
32120
32119
32117
32116
32115
32114
32112
32111
32109
32107
32104
32103
32102
32101
32094
32089
20404
31036
8279
8268