Могут ли пользователи загрузить вирус на сайте?

Question

[Vadim Stepanenko]

На сайте есть некий конструктор. Пользователь вводит нужные данный в нужные поля и на сервере генерируется файл-конфиг с тем, что он указал. Может ли он прописать php код с какой-нибудь угрозой, который можно будет потом запустить?
И как вообще защищаться от подобных атак? Если например пользователь может загрузить файлы на сервер, как их проверять?

Comments

[Adamos]

Для начала - все-таки определиться с тем, что вы готовы пользователю позволить.
Спам-бот или парсер - это, например, не вирус. Но вы вряд ли готовы предоставлять под них площадку.

Answer 1

[dollar]

В общем случае нет. Ведь конфиг не сохраняется на сервере. А если сохраняется, то без права запуска. Хотя в теории вирус можно загрузить и без конструктора, но это другая история.

Предотвращение атак - это обширная тема. И конструктор здесь самый незначительный фактор из всех, которые придётся учитывать. Но вообще касаемо конструктора, если вводимые данные имеют какой-то безопасный формат, то можно проверять соответствие этому формату.

Например, если в поле вводится число, то это можно легко проверить.

А исключить php в текстовых полях можно поиском пары символов "<?" - и если такая подстрока встречается, то это плохой текст, и конструктор должен запрещать его.

Comments

[Adamos]

В "некий конструктор", особенно самопальный, может быть ничтоже сумняшеся включена возможность ввалить и РНР-скрипты. Для удобства пользователя, ага.

[dollar]

Adamos, там вероятнее будет возможность sql-инъекции, если есть база.

Answer 2

[Северное Сияние]

Нет, если директория лежит не в public. Если она в public, можно создать htacess с
php_flag engine off

Answer 3

[АртемЪ]

Вирус это программа.
Загрузить пользователь его может - если пользователю разрешено заливать файлы на сервер, или есть дыры позволяющие это сделать.
А вот запустить можете только вы.

Answer 4

[Ninazu]

Зависит от того как генерируется конфиг по введенным данным пользователя. И как потом используется. В генераторах обычно данные экранируются, если пользователь сможет обойти экранирование. Если этот конфиг потом подключается, то у вас проблеммы)