PHP-Upload [2]

Zu den Sicherheitsaspekten:

Ist der Password-Schutz aus Marcels Script das, was man normalerweise als "sicher genug" bezeichnet?

Mir scheint es sicher. Testen kann man dies z.B., indem man falsche und keine Usernamwn bzw. Passwörter eingibt und nach jedem Schritt den Session-Cookie wieder löscht, um zu schauen, ob man auch ohne weiterkommt. Und die sicherheitsrelevante Variable $key kann von außen nicht überschrieben werden

Was würde eigentlich im worst case passieren, wenn jemand Unbefugtes Dateien auf meinen Host hochladen würde? Einfach nur, daß er seinen eigenen HTML-Kram hochladen könnte, oder auch schlimmere Sachen, die nicht nur meine Seiteninhalte, sondern auch den Host angreifen? D.h. würde ich mich nur selber ärgern oder zerstöre ich etwas mit (bzw. lasse Raum für Zerstörung), was mir gar nicht gehört?

Wenn es keine Einschränkung bei Mime Type und Dateiendung gibt, wäre dies ein großes Sicherheitsloch, da dann beliebige Scripte hochgeladen werden könnten. Wieweit man mit diesen Schaden auf dem Server anrichten kann, hängt von dessen Konfiguration ab - gegebenenfalls würden sich auch der Hoster und die Webspace-Nachbarn ärgern.

Zitat von ***

Wichtig ist allerdings, dass register_globals deaktiviert ist, da man sonst die Variable $key mit GET überschreiben kann und so dann ganz einfach in den geschützen Bereich kommt.

Das ist bei diesem Scrip nicht der Fall, da $key ja initialisiert wurde:

$key = 0;
if ($_POST["username"] == "Username" AND $_POST["password"] == "Passwort") {
   $key = 1;
   $_SESSION["username"] = $_POST["username"];
   $_SESSION["password"] = $_POST["password"];
}

Ein Überschreiben ist dann auch mit register_globals = on nicht möglich

Ansonsten ist es aber natürlich nicht verkehrt, in der php.ini die Einstellung register_globals = off zu wählen - doppelt hält besser

So, jetzt zu Marcels Script:

$key = 0; //$key IST ja wohl eine Spezialvariable (wenn ich auch nicht genau weiß, mit welcher Bedeutung), aber würde es zu diesem Zweck nicht auch eine ganz normale Variable mit beliebigem Namen hier auch tun???

if ($_POST["username"] == "Username" AND $_POST["password"] == "Passwort")
// okay, klingt logisch; aber sind PHP-Dateien denn grundsätzlich nicht über "Quelltext ansehen" einsehbar??? Oder wird unterschieden, ob die Datei ein reines PHP-Script oder eigentlich eine HTML-Datei ist, die halt wegen Verwendung von PHP .php statt .html heißen muß?



{
$key = 1;
$_SESSION["username"] = $_POST["username"];
$_SESSION["password"] = $_POST["password"];
}

if ($_SESSION["username"] == "Username" AND $_SESSION["password"] == "Passwort")
$key = 1;

// also, wenn vorhin die Schleife mit der Password-Abfrage erfolgreich war, ist es ja auch diese Schleife jetzt automatisch-> die Variable _SESSION kannte ich bisher noch nicht, aber ich schlußfolgere mal, daß das eintrifft, wenn das Script wieder aufgerufen wird ohne neues Login (also innerhalb einer "Session", wobei ich das Wort Session bisher nur aus BDSM-Zusammenhängen kenne....)


if ($key == 1) {
echo "<p><b>".$_SESSION["username"]."</b>, erfolgreich eingeloggt</p>";

// aber wenn ich das eben richtig interpretiert habe, dann will ich doch nicht innerhalb einer Session immer wieder schreiben, daß der User erfolgreich eingeloggt ist - oder?


if ($_POST["name"] AND $_FILES["file"]["name"]) {
$name = strip_tags(trim($_POST["name"]));
// über strip_tags hab ich mal was gelesen, über trim noch nicht....
// wenn es mir nur um ein einfaches Upload meiner Dateien auf den Server geht, wo ich die Namen der Dateien ja unproblematisch ohne Sonderzeichen und Tags wählen kann, brauch ich das aber nicht, oder?

if (strlen($name) > 101)
echo "<p><font color=\"red\">Der Name darf maximal 100 Zeichen lang sein.</font></p>";
elseif ($_FILES["file"]["size"] > 512001)
echo "<p><font color=\"red\">Die Datei darf maximal 500 KB gro&szlig; sein.</font></p>";
//okay, begriffen, wenn auch für meinen Zweck unnötig


else {
copy($_FILES["file"]["tmp_name"], "./Bilder/".$name."_".$_FILES["file"]["name"]."");


// so, und hier wird es spannend für mich, um zu verstehen, was denn bei meinem bisherigen Scriptansatz nun (abgesehen von den Rechten, wo ich ja gern noch wissen würde, wie ich mir die zumindest lokal selber setze) falsch war, denn ich hatte ja das Zielverzeichnis noch nicht korrekt angegeben. Leider fragt Marcel in seinem Script das Zielverzeichnis aber gar nicht ab, sondern definiert automatisch /Bilder. Und was ist dieser "_" Teil, hat der was mit der Copy-Funktion zu tun? (Hab in der PHP-Referenz nun Copy nachgeschlagen, da steht aber einfach int copy (string source, string destination) -> also wäre $_FILES["file"]["tmp_name"] die Source (wie bei mir ja auch) und die destination ist irgendwas Zusammengesetztes? Wenn du in dem Script als Namen (Namen wofür?) Christian eingibst und als Datei drachen.jpg, dann würde die Upload-Datei also in also /Bilder/Christian_drache.jpg geladen werden, also in Christian_drache.jpg umbenannt??? Wieso nicht einfach "./Bilder/".$_FILES["file"]["name"]." ?

Hm, viel schlauer bin ich auch nicht. Du hast fast alles erläutert, was ich bereits wußte und die eigentlichen Fragen sind offengeblieben. Daß es mit der Session so funktioniert, wie du schreibst, hab ich begriffen. Nur wann eine Session "bereits vorhanden sein kann" (also wann wird dieses Script aufgerufen wenn NICHT beim ersten Aufruf des Formulars??) das ist mir unklar.

Wenn du mir trim() erklärst, brauchst du bei ltrim und rtrim eigentlich nichts genaues mehr zu erläutern :) Aber danke.

Jetzt die Sache mit dem Datei-Namen.
./Bilder scheint also das zu sein, was ich mit ../Bilder probiert hatte.
"./Bilder/"./$name ist also klar. Wieso heißt es nicht einfach copy
($_FILES["file"]["tmp_name"], "./Bilder/".$_FILES["file"]["name"]."");
wenn ich die Datei drachen.jpg in das Verzeichnis ./Bilder hochladen will, so daß sie dort als Bilder/drachen.jpg gefunden werden kann?
Was soll der _ ? Und wieso übergibst du im Formular einen Namen? Ich hätte nur ein File (das hat ja einen Filenamen, wie du ja so schön schreibst, nämlich $_FILES["file"]["name"] ) und ein Zielverzeichnis (also das, was du als /Bilder vorgibst - bei mir ist es wichtig, daß ich an verschiedene Verzeichnisse mit dem Script komme....) übergeben. Was soll der zusätzliche Name?

Was soll der _ ? Und wieso übergibst du im Formular einen Namen? Ich hätte nur ein File (das hat ja einen Filenamen, wie du ja so schön schreibst, nämlich $_FILES["file"]["name"] ) und ein Zielverzeichnis (also das, was du als /Bilder vorgibst - bei mir ist es wichtig, daß ich an verschiedene Verzeichnisse mit dem Script komme....) übergeben. Was soll der zusätzliche Name?

$_FILES ist eine Autoglobale für den Dateiupload sowie $_GET für die Übergabe von Variablen über die URL - deswegen sind beide gleichermaßen durch den _ gekennzeichnet. Die verschiedenen Inhalte von $_FILES sind hier erläutert:

http://de3.php.net/manual/de/features.file-upload.php#features.file-upload.post-method

'file' entspricht in diesem Fall dem Namen des Uploads, der im Formular angegeben wurde:

 echo "<td><b>Datei</b>:</td><td><input type=\"file\" name=\"file\"></td>";