3. Pour éviter que le pirate ne puisse exécuter des fichiers PHP dans le dossier où les fichiers sont uploadés, j'ajoute ceci dans le virtualhost:
Chez moi, les fichiers utilisateurs ne sont jamais uploadés dans un répertoire accessible directement depuis la racine du site. J'accède aux fichiers via une page PHP qui est faite pour, et qui me permet au passage d'ajouter par exemple une gestion des droits.
Si vraiment on doit pouvoir écrire dans un répertoire accessible directement, le mieux est encore de filtrer les fichiers en n'autorisant que certains types, voir même en forçant le nom du fichier (par exemple pour un avatar de forum, imposer que ça soit <hash du nom d'utilisateur>.jpg).
# Répertoire d'upload
Posté par Moogle . En réponse au journal Sécurisation d'applications PHP hébergées sur du LAMP. Évalué à 2.
Chez moi, les fichiers utilisateurs ne sont jamais uploadés dans un répertoire accessible directement depuis la racine du site. J'accède aux fichiers via une page PHP qui est faite pour, et qui me permet au passage d'ajouter par exemple une gestion des droits.
Si vraiment on doit pouvoir écrire dans un répertoire accessible directement, le mieux est encore de filtrer les fichiers en n'autorisant que certains types, voir même en forçant le nom du fichier (par exemple pour un avatar de forum, imposer que ça soit <hash du nom d'utilisateur>.jpg).