Как передать путь к файл через $_GET?

Question

[XACLYST2]

Доброго времени суток! Мне нужно настроить скачивание файла по ссылке. Я пытаюсь передать путь к файлу через $_GET запрос и выглядит ссылка примерно так /core/downolad.php?file=../uploads/file.ext и выходит ошибка 404 страница не найдена. Ссылка выглядит как

<a href='../core/downolad.php?file=" . $path_to_file . "' class='download-a'></a>

Что я делаю не так

Comments

[Zettabyte]

выходит ошибка 404 страница не найдена

downolad.php

Дело точно не в этой опечатке?

Answer 1

[Александр Тимофеев]

Вероятно надо прописать атрибут download к ссылке.

Comments

[XACLYST2]

Все оказалось настолько просто а я уже целый php скрипт писал

[d-stream]

ещё стоит помедитировать на вариантом, если вдруг в get окажется file=../uploads/file.ext && rm -rf * )

[Zettabyte]

d-stream,

ещё стоит помедитировать на вариантом, если вдруг в get окажется file=../uploads/file.ext && rm -rf * )

А подскажите пожалуйста, что именно почитать на эту тему?

Ваш ответ увидел случайно, стало интересно:
Неужели такая команда сработает независимо от содержимого download.php у автора, наличия чего-то наподобие shell_exec(), пользователя, от имени которого работает php, типа хостинга (shared / свой сервер), и т.п.?

[d-stream]

Zettabyte, зависимо от содержимого - значит надо почитать код и убедиться что то что прилетело со стороны дикого интернета фильтруется прежде чем это содержимое будет скормлено тем или иным системным вызовам. Ровно как в рекомендациях по избеганию sql injection

[Aetae]

XACLYST2, на самом деле чтоб браузер начинал скачку, а не пытался отрыть - сервер должен отдавать заголовок Content-Disposition: attachment. Атрибут download это костыль, и во многих случаях работать не будет.

[Zettabyte]

d-stream,

зависимо от содержимого - значит надо почитать код и убедиться что то что прилетело со стороны дикого интернета фильтруется

Ну уже не так плохо, спасибо :)

Ровно как в рекомендациях по избеганию sql injection

По инъекциям вроде бы использовали htmlspecialchars(), filter_input(), и prepare().

В контексте этого обсуждения поможет как-нибудь escapeshellarg(), или нужно подходить к вопросу более индивидуально?

[d-stream]

Zettabyte, ну надо смотреть в код и тогда будет понятно как может просочиться лишнее ну или например утечь

к примеру что будет, если вместо ../uploads/filename.ext в ссылке окажется /etc/shadow например)
ну или sftp://zloy.site/dropper/virus ))

p.s. ну а так практика давно уже рекомендует "отвязывать" именование значений параметров от сущностей:

к примеру простая KV база где key - это абстрактный GUID, а value - хоть полный путь к файлу

и тогда от клиента прилетает нечто типа ?file=ecd739dc-9a19-4d13-8a2a-8a7d18f8e8e1

а в таблице есть пара
ecd739dc-9a19-4d13-8a2a-8a7d18f8e8e1 : /usr/uploadedfiles/FC/file.ext

и бэкэнд отдаст нужный файл, справившись по таблице

когда-то эта таблица может перерасти из kv в более сложную - например можно добавить типы файлов, счётчики скачиваний... и лёгким движением руки всё это может быть обогащено клиентской идентификацией - тогда прямая ссылка, размещённая на популярной странице уже не будет валидной и не произойдёт перегруза на отдачу 100500 миллионам посетителей страницы с этой ссылкой

Answer 2

[Артём Дайнов]

Возможно get данные нужно пропустить через urlencode

Answer 3

[Тахир]

Зачем в ссылке "../"? И давать пользователю скачать файл в произвольной директории плохая идея.