طراحان و برنامه نویسان وب معمولا از اسکریپت های آپلود فایل استفاده میکنند تا مدیران وب سایتها بسادگی بتوانند فایلهای خود را بر روی سرور وب سایت آپلود کنند.
خطرات اسکریپت های آپلود فایل و عکس
اما این اسکریپتها خطراتی در پی دارند که عدم توجه به این خطرات نتایج بدی برای وب سایتها در پی دارد. در ادامه با این خطرها آشنا میشویم:
عدم اعتبار سنجی کاربران
همانطور که میدانید برای ورود به پنل مدیریت وب سایت باید از صفحه لاگین، کلمه کاربری و کلمه رمز را وارد کنید و سپس وارد پنل مدیریت شوید.
برای اپلود فایل نیز باید فقط مدیرانی که در وب سایت لاگین کرده اند امکان آپلود فایل را داشته باشند.
اما این اسکریپتها به گونه ای طراحی شده اند که بدون نیاز به اعتبار سنجی (لاگین کردن) هم بتوان فایل آپلود کرد. در این صورت کافی است که یک هکر آدرس صفحه اصلی آپلود سنتر را بداند و آن را در مرورگر خود باز کند. پس از این کار میتواند فایلهای مورد نظر خود را بر روی سرور شما آپلود کند و هر کاری که بخواهد با فایلهای وب سایت شما انجام دهد!
برای جلوگیری از این مشکل باید اسکریپت آپلود سنتر خود را به گونه ای تنظیم کنید که امکان آپلود فایل را فقط به مدیرانی بدهد که در وب سایت لاگین کرده اند.
محدود نکردن فایلها بر اساس نوع و پسوند آنها
همانطور که میدانید بسیاری از سایتها با PHP اجرا میشوند و اگر یک آپلود سنتر داشته باشید که کاربران بتوانند فایلهای PHP را آپلود کنند، احتمال اینکه فایل خطرناکی بر روی سرور قرار دهید بسیار زیاد خواهد بود.
برخی از نفوذگران ممکن است در شبکه های اجتماعی با شما ارتباط برقرار کنند و پس از کسب اطلاع از اسکریپت آپلود سنتر شما، به شما پیشنهاد دهند که یک فایل PHP را بر روی سرور خود آپلود کنید.
برای جلوگیری از این خطرات فقط اجازه آپلود فایلهایی مانند تصاویر، ویدیوها و فایلهای گرافیکی و فایلهای فشرده (ZIP & RAR) را بدهید.
مشکل با کاراکترهای فارسی
اسکریپتهای آپلود سنتر برای کاراکترهای ASCII به خوبی کار میکنند اما وقتی از کاراکترهای UTF8 مانند کاراکترهای فارسی برای نام فایلها و پوشه ها استفاده کنید با مشکل مواجه خواهید شد.
فرض کنید یک پوشه با نام "گالری تصاویر شرکت" در آپلود سنتر خود ایجاد کرده اید و در این پوشه گالری تصاویر شرکت خود را آپلود کرده اید. اگر محتوای این پوشه را فشرده کنید و فایلهای سایت خود را به سرور دیگری منتقل کنید. پس از اینکه فایل حاوی گالری تصاویر شرکت را از حالت فشرده خارج کردید، متوجه خواهید شد که نام فارسی پوشه و فایلهای درون آن به unicode تبدیل شده اند و لینکهای ارجاعی به آن کار نمیکنند.
لذا در هنگام استفاده از کاراکترهای فارسی به این نکته توجه کنید.