[php] 파일업로드 확장자 체크하기

[php] 파일업로드 확장자 체크하기 > 개발자팁

개발자팁

개발과 관련된 유용한 정보를 공유하세요.
질문은 QA에서 해주시기 바랍니다.

[php] 파일업로드 확장자 체크하기 정보

PHP [php] 파일업로드 확장자 체크하기

본문

자주필요한것 같아서 올려봅니다.

[출처] http://habony.tistory.com/219#.U3oAGtJ_trA

파일 업로드시 php 나 html 등 위험한 파일은 보통 제한하게 됩니다. 그래서 다양한 방법으로 허용가능 파일인지 체크 스크립트를 작성해 주는데, 문제는 잘못된 체크방법으로 개발자도 모르는 우회하여 파일을 업로드됩니다.

예제 (ex #1

<?php
$filename = "test.php.";
$ext = array_pop(explode(".", strtolower($filename)));

if(@ereg($ext, "php|php3|php4|htm|inc|html")){
echo "죄송합니다. php, html 파일은 업로드가 제한됩니다.";
}
?>

아무 문제가 없어 보이지만, 실은 php. 나 htm. gif. 등 모두 실행 가능한 파일임을 알아 둘 필요가 있습니다. 그러므로 다음 같이 한번더 체크해서 공격자가 우회하지 못하게 해주는게 좋습니다.

예제 (ex #2

<?php
$filename = "test.gif.bmp.php.";
$ext = explode(".", strtolower($filename));

$cnt = count($ext)-1;
if($ext[$cnt] === ""){
    if(@ereg($ext[$cnt-1], "php|php3|php4|htm|inc|html")){
        echo "죄송합니다. php, html 파일은 업로드가 제한됩니다.";
    }
} else if(@ereg($ext[$cnt], "php|php3|php4|htm|inc|html")){
        echo "죄송합니다. php, html 파일은 업로드가 제한됩니다.";
}
?>

댓글 2개

한랭건조 홈페이지 자기소개 아이디로 검색 회원게시물

홈페이지 자기소개 아이디로 검색 회원게시물

14.05.21 13:03:16

파일 업로드시 확장자만 체크 하는것 말고
좀더 보안을 강화 할 수 있는 방법 없을 까요??
확장자 체크는 그냥 확장자만 바꾸면 되는 일인지라.

바트형아 자기소개 아이디로 검색 회원게시물

자기소개 아이디로 검색 회원게시물

14.05.21 17:38:33

그렇다면 mime type을 체크하면 될거 같습니다.

개발자팁

본문

공유하기

댓글 2개