Dotclear blog - Gestionnaire de média et types de fichiers - Commentaires

Gestionnaire de média et types de fichiers - Olivier

Olivier — Fri, 02 May 2008 11:16:55 +0200

Tous les fichiers commençant par un point sont exclus par défaut.

Gestionnaire de média et types de fichiers - Sacha

Sacha — Fri, 02 May 2008 09:28:26 +0200

Olivier G. Oui :)

/^(?>.*)(?<!\.gif|\.jpg|\.jpeg|\.png|\.htaccess)/i

Gestionnaire de média et types de fichiers - Olivier G.

Olivier G. — Thu, 01 May 2008 21:30:41 +0200

est-ce que ça permet aussi de bloquer un fichier .htaccess ?

Gestionnaire de média et types de fichiers - Olivier

Olivier — Tue, 22 Apr 2008 09:32:16 +0200

Oui oui, avec un PHP en CGI. Même qu'avec lighttpd, il ne faut pas faire la même chose...

Gestionnaire de média et types de fichiers - llaumgui

llaumgui — Tue, 22 Apr 2008 09:25:36 +0200

Faut rajouter "RemoveHandler php" dans le fichier de conf d'apache. Ce qui devient :
<Location ~ "public/.*\.php$">
RemoveHandler php
ForceType text/plain
</Location>

Gestionnaire de média et types de fichiers - Sacha

Sacha — Sun, 20 Apr 2008 17:37:18 +0200

Ah, bizarre, j'avais consulté aujourd'hui la page et je n'ai pas vu les nouveaux commentaires. :/

Gestionnaire de média et types de fichiers - Sacha

Sacha — Sun, 20 Apr 2008 17:35:16 +0200

Olivier (auteur du #1),

Les expressions rationnelles prévoient les assertions négatives qui permettent de créer une whitelist dans ce cas-là. Par exemple, pour interdire tous les fichiers sauf les images GIF, JPEG et PNG, tu peux écrire :

/^(?>.*)(?<!\.gif|\.jpg|\.jpeg|\.png)/i

Gestionnaire de média et types de fichiers - llaumgui

llaumgui — Sun, 20 Apr 2008 16:10:09 +0200

Je viens de faire un svn co mais je n'ai pas de champs "media_exclusion"... C'est normal ?

Gestionnaire de média et types de fichiers - Olivier

Olivier — Fri, 18 Apr 2008 15:43:17 +0200

C'est une regexp, donc il est parfaitement possible de nier la négation :)

/(?<!\.(png|jpg))$/i permet de n'autoriser que les fichiers png et jpg

Gestionnaire de média et types de fichiers - Olivier

Olivier — Fri, 18 Apr 2008 15:37:03 +0200

Visiblement, une stratégie de blacklist a été retenue, pourquoi pas une whitelist plutôt ? N'autoriser que les extensions de fichier choisies par l'utilisateur me semblerait une approche plus saine de la sécurité à ce niveau (mieux, une approche par mime types)