¿ Riesgos en system() ?

[urameshix]

Hola a todos amigos,

Estoy usando un plugin llamado uploadify de jquery (no se si lo conoceran) para subir archivos al servidor.

El problema es que al usar flash de por medio, envia siempre de mime-type: application/octet-stream en la variable $_FILES['file']['type'] y necesito validarlo para que sean PDF es decir application/pdf.

Entonces navegando di con la función system de php, que me serviría para ver el mime-type del archivo una vez ya usado move_uploaded_file:

Código PHP:

  $tipo = system('file -ib '. escapeshellarg($new_path));  
   

La cuestión es, es esto seguro? Jamás use esta función, y a simple vista parece peligroso que se pueda manipular el shell desde php no?

Un saludo!

[ebe]

Según dice la documentación de PHP se corre riesgo el hacer llamados a esta función con paremetros provenientes de segundos, por lo que recomiendan

Código XML:

Si se va a permitir que datos provenientes del usuario sean enviados a esta función, habría que utilizar escapeshellarg() o escapeshellcmd() para asegurarse que el usuario no intenta engañar al sistema para que ejecute comandos arbitrarios.
 

además te dejo el link para mayor referencia

[maycolalvarez]

he aquí una alternativa más segura para obtenerlo: http://www.otrobloggeek.com/blog/200...-mediante-php/

[urameshix]

Para esa última alternativa es necesario mínimo php versión 5.3 verdad?

Un saludo

[fran86]

Tendrias que fijarte si esta instalada en tu servidor. Segun el manual, desde la 5.3 esta activada por defecto, y en versiones anteriores es una extension opcional.

[abcdefghi]

Más programación y menos tutorial, fileinfo es otra alternativa válida.

Código PHP:

   
if ('%PDF' === @file_get_contents('el pdf en cuestion',FALSE,NULL,-1,4)) 
{ 
   echo "Válido"; 
} 
else 
{ 
   echo "Hell no!"; 
}  
   

[maycolalvarez]

no necesariamente php5.3, puedes activarla desde el php.ini en php5.2 si dispones de la librería