On Wed, 28 Aug 2002 03:26:55 +0200, Ulrich
<Ulrich_egholm@mail1.stofanet.dk> wrote:
>Jeg roder med et upload-system, med et indbygget filtype-tjek, og
>scriptet lader kun filer med mime typen application/msword (.doc) og
>image/jpg (.jpg) slippe igennem.
Såfremt at du bruger folks filnavne, så vil jeg anbefale at du blot
nøjes med at tjekke på extension (og allerede nu kan jeg høre råb fra
forargede folk :)
Filers mimetype kan afhænge meget af afsenderens system; et system,
hvor Word ikke er installeret, vil fx ikke nødvendigvis kende en
Word-fil. Dertil kommer, at jpeg-filer kan sendes med, med mange
forskellige mime-typer, fx image/pjpeg.
Hvis brugerens filnavn bruges uden videre, så vil man tillige kunne
snyde fx en PHP-fil ind på systemet, blot ved at sende den rette
mime-type med i den forbindelse (tricky, men kan gøres, hvis man vil).
Og hvis filer ikke isoleres og behandles af et bestemt
download-script, der også husker den oprindelige mime-type, i stedet
for at kunne hentes/requestes direkte, så er der næsten frit spil.
En browser vil sandsynligvis alligevel bedømme mime-type'n ud fra
filnavnet, så mit forslag er altså at nøjes med at tjekke på
extension, og så kun tillade et par enkelte (fx .doc, .rtf, .jpg,
..jpeg).
--
- Peter Brodersen