Tipo de archivo en upload.

AbdelioR · #1 (**permalink**) 08/04/2008, 10:58

Tengo un form en el que solo quiero dejar pasar archivos con extension ".xxx". Lo tengo hecho con JS y PHP, para comprobar dos veces la extensión, pero si el usuario decide renombrar el archivo a "archivo.xxx", el form lo acepta.

Cual es la mejor solución?

#2 (**permalink**) 08/04/2008, 11:09

Yo creo que para esas cosas es mejor php. ¿A qué te refieres con si el usuario decide renombrar el archivo a "archivo.xxx", el form lo acepta"?

GatorV · #3 (**permalink**) 08/04/2008, 11:23

Una vez que subes el archivo con PHP, fíjate en el tipo de archivo en $_FILES['archivo']['type'].

Saludos.

Chudux · #4 (**permalink**) 08/04/2008, 11:30

y ahi ?

Código PHP:

  $extension = substr($_FILES['archivo']['name'], -3, 3);

saludos ...

luchope · #5 (**permalink**) 08/04/2008, 11:32

No Chudux, mejor con la variable que expone GatorV, por ejemplo un archivo .tar.gz... ahi se rompe tu linea de codigo..

Chaop!

AbdelioR · #6 (**permalink**) 08/04/2008, 14:01

Cita:

Iniciado por GatorV

Una vez que subes el archivo con PHP, fíjate en el tipo de archivo en $_FILES['archivo']['type'].

Saludos.

¿Pero eso te da el myme no? si yo quiero subir un archivo con extension ".p3t", como me aseguro que la extensión real sea esa, con lo que me has puesto podria verificarla? o verificaria el myme?

GatorV · #7 (**permalink**) 08/04/2008, 15:31

Es mejor verificar el Tipo de archivo, ya que la extensión es lo de menos, como dices tu, si te la cambian tu script dejaría de funcionar, así que por eso te recomiendo uses el mime del archivo.

Saludos.

AbdelioR · #8 (**permalink**) 08/04/2008, 15:58

Ya veo...

yo estaba pensando en que los usuarios podrian subir archivos maliciosos a través del formulario que tubieran el mismo myme que un archivo ".p3t", no?

GatorV · #9 (**permalink**) 08/04/2008, 16:03

No es posible, ya que el tipo de archivo te lo entrega el navegador, el usuario no lo puede cambiar (a menos que usen un navegador con el que puedan falsificar el tipo de archivo).

Saludos.

AbdelioR · #10 (**permalink**) 09/04/2008, 10:03

Vale, he comprobado el myme de los archivos que se subiran a la web y es "application/octet-stream". Entonces mi duda es, y perdón si insisto mucho pero a ver si lo termino de ver... se supone que hay más archivos con este myme no? si un usuario coje uno de esos ficheros y lo renombra a ".p3t", no subiria igual al servidor?

Un .mp3 mismo renombrado a .p3t seria aceptado :S

Gracias.

AbdelioR · #11 (**permalink**) 10/04/2008, 10:44

Alguien sabria verificarme si lo último que digo es cierto?

Thanks ;)

pateketrueke · #12 (**permalink**) 10/04/2008, 10:48

Cita:

Iniciado por AbdelioR

Alguien sabria verificarme si lo último que digo es cierto?

Thanks ;)

me parece ke esa comprobacion MIME se hace de modo binario ((en algunos casos)) pues a veces suelen alterarse las extensiones, es una convencion....

a menos que obtengas el MIME por comparacion de su .ext ((ke rollo no))

AbdelioR · #13 (**permalink**) 10/04/2008, 14:35

Cita:

Iniciado por pateketrueke

me parece ke esa comprobacion MIME se hace de modo binario ((en algunos casos)) pues a veces suelen alterarse las extensiones, es una convencion....

a menos que obtengas el MIME por comparacion de su .ext ((ke rollo no))

Ya ya, pero mira mi duda sobre subir un .mp3 renombrado a .p3t. Ambos tienen el mismo tipo por tanto ambos se aceptarian :/

usermax · #14 (**permalink**) 10/04/2008, 14:57

AbdelioR,
Pero ahi viene la cuestión,
Suponte que lo suben con la extension cambiada, como mp3..

Cómo se supone que ese usuario malicioso renombraría el archivo en el server sin permisos?

porque se supone que sin renombrarlo, el archivo malicioso no tiene cómo actuar.

Me explico?

AbdelioR · #15 (**permalink**) 10/04/2008, 17:07

Cuando en el formulario tienes el campo de "examinar" donde buscas la ruta de tu archivo, una vez puesta puedes borrar la extensión del archivo y cambiarla por otra, de tal manera que engañas al formulario.

El archivo se subiria al servidor como un archivo que no es, y no es porque sea malicioso o no, es porque luego los usuarios se lo bajarán y ese archivo sera incorrecto.

He visto forms que renombras de esta manera y siguen sin aceptarte el fichero, por eso quiero ver como hacerlo, porque yo en mi caso si que los acepto :/

usermax · #16 (**permalink**) 10/04/2008, 17:29

Nunca he visto un caso así.
Si le cambias la extension despues de haber seleccionado el archivo, pues no te sube nada ya que cuando busca en tu máqunia local elarchivo este no existe en realidad.

AbdelioR · #17 (**permalink**) 10/04/2008, 18:06

Si, si que lo sube :s

Bueno el caso es que páginas como imageshack o similares, si las intentas engañar no te dejan. Si alguien sabe el método correcto para implementar esto se agradecerá ;)

Saludoss

pateketrueke · #18 (**permalink**) 10/04/2008, 18:35

Cita:

Iniciado por usermax

Nunca he visto un caso así.
Si le cambias la extension despues de haber seleccionado el archivo, pues no te sube nada ya que cuando busca en tu máqunia local elarchivo este no existe en realidad.

no es por nada... pero estoy contigo!! no existiria el archivo, que absurdo...

quisiera ver como lo hace mi amigo: AbdelioR

usermax · #19 (**permalink**) 10/04/2008, 18:45

Cita:

no es por nada... pero estoy contigo!! no existiria el archivo, que absurdo...
quisiera ver como lo hace mi amigo: AbdelioR

Claro!! incluso ante la duda acabo de programar un upload e intente hackear y si sube, pero sube un archivo de 0kb inconsistente. No hay forma pues cuando busque la ruta del archivo en tu maquina no HAY NADA.-