[php] Hackangriff??

[Peter Linzenkirchner]

Hallo Lutz,

Am 16. Sep 2005 um 21:30 schrieb Lutz Zetzsche:

> bei einem Upload-Formular sollte man eine "Weiße Liste" der erlaubten
> Dateiendungen bzw. Dateien definieren und das Hochladen aller Dateien
> unterbinden, die nicht mit der "Weißen Liste übereinstimmen.

Mache ich auch normalerweise so, aber das geht hier nicht, da es sich  
um ein Daten-Upload-Verzeichnis für Druckvorstufen und alle Arten von  
Mediendateien handelt. Ich muss explizit die Archive zulassen. Da ich  
die Fülle der Endungen gar nicht kenne, muss ich hier mit einer  
Blacklist arbeiten, was natürlich unsicherer ist. Der Angreifer  
konnte es ja nicht auspacken. Trotzdem habe ich mal lieber alles an  
PHP und CGI deaktiviert, was ich nicht brauche. Prinzipiell geht  
jetzt nur das eine CGI, das ich für den Upload benötige.

Schönen Abend,
Peter


-- 
-----------------------------------------------
Peter Linzenkirchner
Lisardo Multimedia GmbH
Herrenbachstraße 19, 86161 Augsburg
Tel. ++49-821-150565, Fax ++49-821-150595
-----------------------------------------------