Регистрация Войти
Рейтинг:0
Tom avatar Server

Должен ли я изменить папку по умолчанию для загрузки?

флаг bf
Tom

PHP 7 использует системную папку по умолчанию (/tmp) для хранения загруженных файлов. PHP позволяет вам изменить настройки и изменить каталог назначения загрузки. На некоторых сайтах указано изменить эту папку на другую, поскольку разрешение /tmp равно 777.

В рекомендациях по безопасности OWASP ничего не указано. Стоит ли мне действительно беспокоиться о смене этой папки на другую или нет никаких рисков?

44
1 + 0
Рейтинг:1
avatar Server
флаг in
Lacek

Я думаю, что обычно не нужно менять папку загрузки, потому что

  • Режим доступа по умолчанию к временным файлам — 0600, и они принадлежат пользователю, запускающему процесс PHP. Это означает, что другие пользователи не могут получить доступ к файлам по умолчанию.
  • /tmp имеет установленный липкий бит, что означает, что даже его права доступа равны 777, только владелец файла может удалить любые файлы (и root, конечно).
  • Обычно серверы — это выделенные компьютеры, а в наши дни с контейнерами и виртуализацией тем более. Это означает, что, вероятно, нет других пользователей, которые могли бы просмотреть загруженные файлы в пути.
  • Файлы находятся там только временно, если скрипт, обрабатывающий загрузку файлов, завершает работу, файлы удаляются. Таким образом, даже если вокруг есть ненадежные пользователи/процессы, им потребуется состояние гонки (которое может существовать, кстати) для доступа к файлам, и им все равно необходимо преодолеть ограничения доступа, упомянутые ранее.
  • Если кому-то неавторизованному из Интернета удастся получить доступ к файловой системе вашего компьютера, временные загруженные файлы — наименьшая из ваших проблем.
0 + 0
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.