테스트 사이트 - 개발 중인 베타 버전입니다

[php] 파일업로드 확장자 체크하기


자주필요한것 같아서 올려봅니다.


[출처] http://habony.tistory.com/219#.U3oAGtJ_trA

파일 업로드시 php 나 html 등 위험한 파일은 보통 제한하게 됩니다. 그래서 다양한 방법으로 허용가능 파일인지 체크 스크립트를 작성해 주는데, 문제는 잘못된 체크방법으로 개발자도 모르는 우회하여 파일을 업로드됩니다.

예제 (ex #1
 <?php  
 $filename 
"test.php."

 $ext array_pop(explode("."strtolower($filename
)));

 if(@ereg($ext"php|php3|php4|htm|inc|html")){ 
        echo 
"죄송합니다. php, html 파일은 업로드가 제한됩니다."

 } 
 ?>

아무 문제가 없어 보이지만, 실은 php. 나 htm. gif. 등 모두 실행 가능한 파일임을 알아 둘 필요가 있습니다. 그러므로 다음 같이 한번더 체크해서 공격자가 우회하지 못하게 해주는게 좋습니다.

예제 (ex #2
 <?php  
 $filename 
"test.gif.bmp.php."

 $ext explode("."strtolower($filename
)); 

 $cnt count($ext)-1

 if(
$ext[$cnt] === ""
){ 
    if(@
ereg($ext[$cnt-1], "php|php3|php4|htm|inc|html"
)){ 
        echo 
"죄송합니다. php, html 파일은 업로드가 제한됩니다."

    } 
 } else if(@
ereg($ext[$cnt], "php|php3|php4|htm|inc|html"
)){ 
        echo 
"죄송합니다. php, html 파일은 업로드가 제한됩니다."

 } 
 ?>

댓글 작성

댓글을 작성하시려면 로그인이 필요합니다.

로그인하기

댓글 2개

파일 업로드시 확장자만 체크 하는것 말고
좀더 보안을 강화 할 수 있는 방법 없을 까요??
확장자 체크는 그냥 확장자만 바꾸면 되는 일인지라.
그렇다면 mime type을 체크하면 될거 같습니다.

게시글 목록

번호 제목
20841
20840
20839
20838
20835
20834
7057
19668
19667
19666
19665
19663
19662
19661
19660
19659
19658
19657
19656
19655
19654
19653
19652
19651
19650
19649
19648
19647
19646
19645
19644
19643
19642
19641
19640
19639
19638
19637
19636
7051
26561
19635
19634
27958
30952
27955
19633
19632
19631
7048
7033
19630
7021
7018
27953
7015
27951
7011
19628
19627
7010
27947
7009
19626
19625
24635
7005
27943
7000
19624
6995
6992
30949
30948
19623
19620
19619
6990
6986
27940
30947
30945
19618
19617
19616
19615
19614
19613
19612
19610
30943
30942
19609
19608
19607
24631
27935
27933
24628
19604