Enviando Variáveis para Funções PHP FileSystem com Submissão de Formulários
Estou tentando encontrar uma maneira segura de fazer o seguinte:
Usuários inserem valor em formato html.Formulário é enviado.O PHP usa o valor submetido como o argumento para a função "scandir".Minha teoria é incluir lógica no script php que proíbe caminhos absolutos e requer que o nome do diretório inclua um determinado valor.
Minha preocupação é que um hacker use meu formulário para enviar seu próprio valor e acessar arquivos confidenciais.
Isto é para um plugin JQuery. Eu não quero que os usuários tenham que modificar o arquivo PHP.
Como o código abaixo poderia ser hackeado?
<?php
$foo = $_POST["some_directory"];
//validate $foo
//make sure path to directory is relative
$foo_url_test = parse_url($foo);
if (isset($foo_url_test['scheme']) || isset($foo_url_test['host'])) {
$foo = NULL;
}
//make sure the directory name contains 'bar123'
$foo_name_test = preg_split('_[\\\\/]_', $foo);
$foo_name_test = end($foo_name_test);
$foo_name_test = strpos($foo_name_test,'bar123');
if ($foo_name_test === false) {
$foo = NULL;
}
//make sure the path does not contain '..'
$foo_dot_dot_test = strpos($foo,'..');
if ($foo_dot_dot_test == TRUE || $foo_dot_dot_test === 0) {
$foo = NULL;
}
//get files
$files_array = scandir($foo);
?>