테스트 사이트 - 개발 중인 베타 버전입니다

[php] 파일업로드 확장자 체크하기

· 11년 전 · 4465 · 2

자주필요한것 같아서 올려봅니다.


[출처] http://habony.tistory.com/219#.U3oAGtJ_trA

파일 업로드시 php 나 html 등 위험한 파일은 보통 제한하게 됩니다. 그래서 다양한 방법으로 허용가능 파일인지 체크 스크립트를 작성해 주는데, 문제는 잘못된 체크방법으로 개발자도 모르는 우회하여 파일을 업로드됩니다.

예제 (ex #1
 <?php  
 $filename 
"test.php."

 $ext array_pop(explode("."strtolower($filename
)));

 if(@ereg($ext"php|php3|php4|htm|inc|html")){ 
        echo 
"죄송합니다. php, html 파일은 업로드가 제한됩니다."

 } 
 ?>

아무 문제가 없어 보이지만, 실은 php. 나 htm. gif. 등 모두 실행 가능한 파일임을 알아 둘 필요가 있습니다. 그러므로 다음 같이 한번더 체크해서 공격자가 우회하지 못하게 해주는게 좋습니다.

예제 (ex #2
 <?php  
 $filename 
"test.gif.bmp.php."

 $ext explode("."strtolower($filename
)); 

 $cnt count($ext)-1

 if(
$ext[$cnt] === ""
){ 
    if(@
ereg($ext[$cnt-1], "php|php3|php4|htm|inc|html"
)){ 
        echo 
"죄송합니다. php, html 파일은 업로드가 제한됩니다."

    } 
 } else if(@
ereg($ext[$cnt], "php|php3|php4|htm|inc|html"
)){ 
        echo 
"죄송합니다. php, html 파일은 업로드가 제한됩니다."

 } 
 ?>

댓글 작성

댓글을 작성하시려면 로그인이 필요합니다.

로그인하기

댓글 2개

11년 전
파일 업로드시 확장자만 체크 하는것 말고
좀더 보안을 강화 할 수 있는 방법 없을 까요??
확장자 체크는 그냥 확장자만 바꾸면 되는 일인지라.
11년 전
그렇다면 mime type을 체크하면 될거 같습니다.

게시글 목록

번호 제목
28080
7612
7598
7595
19842
28079
19840
7593
28076
7590
28072
28065
19836
7586
28058
7573
31754
7552
28057
30993
28052
7546
7544
7538
7519
30992
19834
7517
7512
7511
19832
19820
7509
24658
7508
7507
19818
30990
7506
7505
7498
7492
28051
7481
30988
19813
19812
7477
7476
7471
7467
19810
7464
19809
7463
7457
30980
7450
28043
7447
7440
28040
7438
7430
7427
7423
7414
7408
7405
7401
7400
19808
7398
7393
7389
19805
7382
7379
7378
7363
7361
7356
19804
7355
7352
19786
7342
7336
7332
19783
7328
7325
7324
28036
19782
7321
26574
7314
7312
19781