Thread Fileupload mit Statusanzeige (17 answers)
Opened by Paulaner at 2010-08-08 16:21

murphy
 2010-08-08 19:06
#140476 #140476
User since
2004-07-19
1776 Artikel
HausmeisterIn
[Homepage]
user image
2010-08-08T14:21:11 Paulaner
[code=perl][...]
# Hole Parameter
%get_params = parse_query_string($ENV{'QUERY_STRING'});
[...]
# Hole Userid und Uploadid wenn vorhanden
$userid = $get_params{'userid'};
$uploadid = $get_params{'uploadid'};
[...]
# Wechsel ins tempUploads-Verzeichnis
chdir("../tempUploads");
[...]
# Wechsel ins Userverzeichnis
chdir($userid);
[...]
# Wechsel ins Uploadidverzeichnis
chdir($uploadid);
[...]

Dir ist schon klar, dass solcher Code nicht gerade besonders sicher ist, oder? Da keinerlei Prüfung der Abfrageparameter erfolgt, bevor sie unverändert als Dateinamen verwendet werden, erlaubt dieses CGI zumindest einmal jedem, der es über den Webserver aufrufen kann, Dateien mit den Rechten des CGIs in beliebige Verzeichnisse auf der Platte zu schreiben.
When C++ is your hammer, every problem looks like your thumb.

View full thread Fileupload mit Statusanzeige