Приветствую.
Нашел скрипт загрузки файлов на сервер. Скрипт работает, но он является "дырой" в моем сайте, потому что кто-то может загрузить на мой сайт файл delete.php (допустим), где будет скрипт, с помощью которого удалятся все папки сайта.
Вопрос: Как сделать так, чтобы можно было загружать файлы формата только .zip или .rar? Пробовал другие скрипты встроить в этот, но не получилось. А именно пробовал запретить некоторые типы, но на сервер все-равно загрузили файл с обфускацией в формате или .PhP или .php (не помню точно), а потом и просто .php начали загружать.
Так вот. Как сделать так, чтобы можно было загружать файлы только с расширением .zip или .rar?
Тот код, что есть сейчас, который не разрешает загружать файлы с некоторыми расширениями:
<?php
// ini_set('display_errors','Off');
function getFileCount($path){
$last = 0;
if(substr($path, -1) != "/") $path = $path."/";
$dir = scandir($path);
foreach($dir as $name)
{
if($name != '.' && $name != '..')
{
$file_name = explode('.', $name)[0];
$ex = explode("_", $file_name);
end($ex);
$n = $ex[key($ex)];
$count[$n] = $name;
ksort($count);
end($count);
$last = key($count);
$last += 1;
}
}
return $last;
}
$uploaddir = '/home/xxxxxxxx/public_html/files/upl/';
$ext = explode('.', $_FILES['userfile']['name'])[1];
$ext = strtolower($ext);
if(in_array($ext, ['php', 'html', 'xml', 'jar', 'PhP', 'phP', 'pHp', 'Php', 'PHp', 'pHP'], true))
die('Нельзя загружать файлы такого типа!');
$file_name = basename(str_ireplace(' ', '_', $_FILES['userfile']['name']), '.'.$ext).'_'.getFileCount($uploaddir).'.'.$ext; // Нумеруем файл
$uploadfile = $uploaddir.$file_name;
if (move_uploaded_file($_FILES['userfile']['tmp_name'], $uploadfile)) {
echo 'Файл загружен <br> ';
} else {
echo "Файл не загружен ";
}
$proto = (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] != "off") ? "https" : "http";
// На всякий случай добавил определение протокола
$link = $proto.'://'.$_SERVER['SERVER_NAME'].'/files/upl/'.$file_name;
// Ссылка на загруженный файл
echo "<a href='".$link."' class='btn btn-primary ok'> Посмотреть/скачать</a>
Ссылка:
<input class='form-control' id='exampleInputEmail1' value='".$link."' onfocus='this.select()' style='width: 200px;'>
<br>
";
?>