[PHP] Ordner im FTP "verstecken" bzw schützen [Schon gelöst]

[sarte]

Hallo Leute,
ich habe mal wieder zwei Fragen:

1. Wie kann man Funktionen vor einem Aufruf schützen? Z.B. Ein User loggt sich ein und kann eine Uploadfunktion benutzen. Wenn er aber klug ist, muss er einfach domain.tld/function/upload.php aufrufen. So muss er nicht eingeloggt sein. Kann man dies verhindern? Ohne zu überprüfen ob die Cookies vorhanden sind etc. Sprich, dass man mit chmod den direkten Aufruf verhindert aber dass Php trotzdem upload für den User aufrufen kann.

2. Wenn ich Programme zum Downloaden anbiete und mit mehreren Headers den Pfad der Datei verberge, (z.b. download.php?id=1) kann man trotzdem, wenn man mein Verzeichniss kennt, auf die Dateien raufkommen und runterladen. Kann ich dies wie bei Frage 1 verbieten?

Danke,
Sarte

[Matze]

Hallo,

bitte gestalte deinen Titel etwas aussagekräftiger, sodass ersichtlich ist, dass es um den Schutz von Downloads geht.

Zu 1:
Wenn sich der Benutzer anmelden kann, dann kannst du doch einfach überprüfen, ob er angemeldet ist oder nicht. Das sollte doch kein Problem sein, wenn schon ein Session-System vorhanden ist.

Zu 2:
Schütze das Verzeichnis mittels .htaccess.

Grüße, Matze

Edit: Ah das mit dem Titel hast du wohl selbst gemerkt.

[sarte]

Zitat von Matze:

Hallo,

bitte gestalte deinen Titel etwas aussagekräftiger, sodass ersichtlich ist, dass es um den Schutz von Downloads geht.

Edit: Ah das mit dem Titel hast du wohl selbst gemerkt.

Tut mir leid, habe es vergessen

Zitat von Matze:

Zu 1:
Wenn sich der Benutzer anmelden kann, dann kannst du doch einfach überprüfen, ob er angemeldet ist oder nicht. Das sollte doch kein Problem sein, wenn schon ein Session-System vorhanden ist.

Ich dachte das würde noch eleganter gehen, um die kleine Abfrage zu vermeiden.

Zitat von Matze:

Schütze das Verzeichnis mittels .htaccess.

Wenn ich das mit einem Passwort schütze, dann weiß ich nicht wie ich das mit dem Upload mache. Kann dann PHP durch die Sperre durchkommen?

[Matze]

Hi,

ein "Deny from all" in der .htaccess sollte zuverlässig vor direktem Dateiaufruf in dem Upload-Verzeichnis schützen.
PHP juckt das nicht. Damit kannst du weiterhin ganz normal auf das Verzeichnis zugreifen. Probiere es einfach aus.

Grüße, Matze

[sarte]

Danke

[Meflin]

Zitat von sarte:

Ich dachte das würde noch eleganter gehen, um die kleine Abfrage zu vermeiden.

Gegenfrage: Was störtdich an der Abfrage?!

[himitsu]

also angemeldete User sollen über die upload.php Dateien hochladen können?

Dann müssen sie diese auch aufrufen können (egal ob per Link oder direkt).
Und wenn du jetzt den Zugriff für alle sperrst (z.B. per .htaccess), dann kann doch keiner mehr was hochladen?

[Matze]

Die upload.php darf sich natürlich nicht im Upload-Verzeichnis mit der .htaccess-Datei befinden.

Die Struktur wäre bsp:

- /upload.php
- /uploads/
- /uploads/.htaccess

Dann sollte es eigentlich funktionieren.

Grüße, Matze