Шелл через загрузочную форму?

Question

[XenK]

На сайте есть форма, которая загружает на хостинг, файлы с расширением .pdf может ли недобросовестный человек загрузить при помощи этой формы шелл?

Answer 1

[Оптимус Пьян]

1. Запретить исполнение файлов в этой папке (отключить исполнение php и т.п.)
2. Проверять не только расширение но и mime-type
Тогда вы в безопасности ;)

Comments

[XenK]

это само собой) я хотел узнать возможно ли через сам .pdf выполнить скрипт php?

[Chvalov]

XenK: Нет, но mime-type легко сменить при загрузке файлов.
Так когда то в joomla заливали шеллы вместо картинок еще в версии 1.5

[Оптимус Пьян]

XenK: тогда нет

Answer 2

[Chvalov]

Запретите выполнения скриптов в каталоге, в котором хранится *.pdf-ки

Для апача это сделать просто
.htaccess

php_flag engine 0
AddType "text/html" .php .cgi .pl .fcgi .fpl .phtml .shtml .php2 .php3 .php4 .php5 .asp .jsp