Как передать путь к файл через $_GET?

Question

XACLYST2 @XACLYST2

PHP

Как передать путь к файл через $_GET?

Доброго времени суток! Мне нужно настроить скачивание файла по ссылке. Я пытаюсь передать путь к файлу через $_GET запрос и выглядит ссылка примерно так /core/downolad.php?file=../uploads/file.ext и выходит ошибка 404 страница не найдена. Ссылка выглядит как

<a href='../core/downolad.php?file=" . $path_to_file . "' class='download-a'></a>

Что я делаю не так

Вопрос задан 30 авг.
183 просмотра

1 комментарий

Подписаться 2 Простой 1 комментарий

Решения вопроса 1

7 комментариев

XACLYST2 @XACLYST2 Автор вопроса

Все оказалось настолько просто а я уже целый php скрипт писал

Написано 30 авг.
d-stream @d-stream

ещё стоит помедитировать на вариантом, если вдруг в get окажется file=../uploads/file.ext && rm -rf * )

Написано 30 авг.
Zettabyte @Zettabyte

d-stream,
ещё стоит помедитировать на вариантом, если вдруг в get окажется file=../uploads/file.ext && rm -rf * )

А подскажите пожалуйста, что именно почитать на эту тему?

Ваш ответ увидел случайно, стало интересно:
Неужели такая команда сработает независимо от содержимого download.php у автора, наличия чего-то наподобие shell_exec(), пользователя, от имени которого работает php, типа хостинга (shared / свой сервер), и т.п.?

Написано 31 авг.
d-stream @d-stream

Zettabyte, зависимо от содержимого - значит надо почитать код и убедиться что то что прилетело со стороны дикого интернета фильтруется прежде чем это содержимое будет скормлено тем или иным системным вызовам. Ровно как в рекомендациях по избеганию sql injection

Написано 31 авг.
Aetae @Aetae

XACLYST2, на самом деле чтоб браузер начинал скачку, а не пытался отрыть - сервер должен отдавать заголовок Content-Disposition: attachment. Атрибут download это костыль, и во многих случаях работать не будет.

Написано 31 авг.
Zettabyte @Zettabyte

d-stream,
зависимо от содержимого - значит надо почитать код и убедиться что то что прилетело со стороны дикого интернета фильтруется

Ну уже не так плохо, спасибо :)

Ровно как в рекомендациях по избеганию sql injection

По инъекциям вроде бы использовали htmlspecialchars(), filter_input(), и prepare().

В контексте этого обсуждения поможет как-нибудь escapeshellarg(), или нужно подходить к вопросу более индивидуально?

Написано 31 авг.
d-stream @d-stream

Zettabyte, ну надо смотреть в код и тогда будет понятно как может просочиться лишнее ну или например утечь

к примеру что будет, если вместо ../uploads/filename.ext в ссылке окажется /etc/shadow например)
ну или sftp://zloy.site/dropper/virus ))

p.s. ну а так практика давно уже рекомендует "отвязывать" именование значений параметров от сущностей:

к примеру простая KV база где key - это абстрактный GUID, а value - хоть полный путь к файлу

и тогда от клиента прилетает нечто типа ?file=ecd739dc-9a19-4d13-8a2a-8a7d18f8e8e1

а в таблице есть пара
ecd739dc-9a19-4d13-8a2a-8a7d18f8e8e1 : /usr/uploadedfiles/FC/file.ext

и бэкэнд отдаст нужный файл, справившись по таблице

когда-то эта таблица может перерасти из kv в более сложную - например можно добавить типы файлов, счётчики скачиваний... и лёгким движением руки всё это может быть обогащено клиентской идентификацией - тогда прямая ссылка, размещённая на популярной странице уже не будет валидной и не произойдёт перегруза на отдачу 100500 миллионам посетителей страницы с этой ссылкой

Написано 31 авг.