دانلود پروژه اپلود و دانلود به صورت زیپ

[kiava]

دوستان یه پروژه ای تمرینی زدم و براتون به صورت رایگان میزارم استفاده کنید


نظری باگی چیزی پیدا کردید بدید برطرف کنم


لینک دانلود کلیک کنید (http://uplod.ir/a3cauwk1uk3x/htdocs.rar.htm)


عکس :

http://s6.uplod.ir/i/00836/5aiyro7vy6b0_t.jpg (http://uplod.ir/5aiyro7vy6b0/Ashampoo_Snap_2016.10.20_23h51m25s_001_.png.htm)

[Flynic]

سلام

آسیب‌پذیری‌ها:

۱. SQL Injection


$query=$conn->query("insert into upload(name)values('$name')");

PDO متد‌های خوبی برای escape کردن دارد. بهتر است از prepare و execute استفاده شود.

۲. Remote file inclusion
دانلود فایل از سرور:


http://domain/download.php?filename=../index.php


۳. عدم بررسی پسوند فایل آپلود
کافی هست یک شل آپلود شود.


هر سه مورد اولویت «خطرناک» تا «بسیار خطرناک» دارند. یعنی داشتن یکی از موارد بالا به تنهایی هم جدی هست.

[kiava]

سلام

آسیب‌پذیری‌ها:

۱. SQL Injection


$query=$conn->query("insert into upload(name)values('$name')");

PDO متد‌های خوبی برای escape کردن دارد. بهتر است از prepare و execute استفاده شود.

۲. Remote file inclusion
دانلود فایل از سرور:


http://domain/download.php?filename=../index.php


۳. عدم بررسی پسوند فایل آپلود
کافی هست یک شل آپلود شود.


هر سه مورد اولویت «خطرناک» تا «بسیار خطرناک» دارند. یعنی داشتن یکی از موارد بالا به تنهایی هم جدی هست.


تشکر به زودی رفع میشه

[rayanagostar]

مطابق همون چیزی که دوستمون فرمودن به نظرم مهمترین بخش همون بررسی جنس فایل آپلود ی هست . در ضمن حتما از pdo استفاده کنید چون دستورات قدیمی sql در ورژن های جدید php از بین خواهد رفت

[kiava]

مطابق همون چیزی که دوستمون فرمودن به نظرم مهمترین بخش همون بررسی جنس فایل آپلود ی هست . در ضمن حتما از pdo استفاده کنید چون دستورات قدیمی sql در ورژن های جدید php از بین خواهد رفت

بله حتما به زودی این مواردشو اصلاح میکنم .