PHP: Verifikasi Command File

Verifikasi Data (Hapus file)
---------------------------------

ini adalah pegetahuan dasar mengenai masalah security bagi php coder yaitu jangan percaya semua data yang diinputkan user (sekalipun itu admin) sebelum kau memverifikasi data tersebut. langsung menjalankan data yang diterima dari $_GET, $_POST dan $_COOKIE adalah salah satu perbuatan bodoh.

contoh:
jika anda mempuyai script utnuk menghapus file pada folder "gambar"

if (isset($_GET['hapusgambar'])) {
$dir = "./gambar/";
$file = $dir . $_GET['hapusgambar'];
unlink($file);
}
?>

masalah akan muncul jika ada yang merequest url

www.mysite.id/admin.php?hapusgambar=../index.php

maka bisa dipastikan file index.php anda akan terhapus dan struktur website anda pun terbuka utnuk dilihat siapapun. jadi anda harus punya kontrol mana file yang boleh dihapus dan tidak boleh dihapus.

cara memperbaikinya?


anda bisa mengikuti rekomendasi Regin Gaarsmand (http://www.sourcerally.net/regin/8-The-PHP-coder's-top-10-mistakes-and-problems.htm) dengan memverifikasi input terlebih dahulu. jika kita sesuaikan maka seperti ini

if (isset($_GET['hapusgambar'])) {
/* memasukan file yang boleh dihapus kedalam array */
$allowedFiles = array('file1.jpg','file2.jpg','file3.gif');

/* memeriksa apakah input dari user termasuk yang boleh dihapus */
if(in_array((string)$_GET['hapusgambar'],$allowedFiles)) {
$dir = "./gambar/";
$file = $dir . $_GET['hapusgambar'];
unlink($file);
}
else{
exit('not allowed');
}
}
?>

masalah kembali muncul, bagaimana jika file yang yang ingin di hapus itu dinamis artinya selalu berubah-ubah seperti file di dalam folder gambar. tidak mungkin setiap saat anda mengedit source code hanya untuk mengganti array file.

maka sebagai gantinya anda bisa menggunakan script seperti ini

if (isset($_GET['hapus'])) {
$fileuser = $_GET['hapus'];
$retVal = array ();

/* buka direktori gambar */
$handle = opendir("./gambar/");
while ($file = readdir($handle)) {
/* memasukan nama file kedalam array */
$retVal[count($retVal)] = $file;
}

/* tutup dan urutkan data */
closedir($handle);
sort($retVal);

/* check apakah file yang ingin dihapus ada didirektori tersebut */
if(in_array($fileuser,$retVal)) {
unlink($fileuser);
/* jika file tidak terdapat di folder gambar, maka tampilkan pesan */
} else {
exit('tidak di ijinkan');
}
}
?>

Happy coding....
By Boy21 a.k.a S-Elf

Komentar

Posting Komentar

Postingan populer dari blog ini

[Solved] MsWord 2010 "outside the printable area of the page" for Legal Paper

Gambar
One or more margin are set outside the printable area of the page. Choose the Fix button to increase the appropriate margin. Penulis mendapat peringatan ini ketika ingin mengatur margin setting untuk kertas uk. Legal pada Ms.Word 2010, penulis sudah berulang kali memeriksa bahwa tidak ada yang salah dengan page setup di word atau pun settingan di printer tetapi tetap saja ketika diprint dokument selalu terpotong dibagian bawah, seperti dbawah ini : Jika teman-teman mengalami hal yang sama, maka mari bergandengan tangan dan rapatkan barisan. Karena akar permasalahannya adalah pada settingan di word, bukan pada settingan margin atau pada page setup tetapi pada settingan sistem word itu sendiri. Untuk membetulkannya teman-teman dapat mengubahnya pada File - Options - Advance,  grup " Print " lalu  hilangkan ceklist ( unchecklist)  pada " Scale content for A4 or 8.5 x11" paper sizes ". Tutup aplikasi word-nya lalu buka lagi dan TAARAA... Akhirny...
Baca selengkapnya

Tips & Trik CMS Balitbang

Gambar
CMS Balitbang ... Yup, beberapa hari ini saya mencoba sebuah cms yang dibuat khusus untuk sekolah yang dikembangakan oleh Divisi Data Litbang Kementrian Pendidikan dan Kebudayaan. Beberapa tips dan trik dalam artikel ini berdasarkan masalah yang saya temui secara personal pada CMS Balitbang V.353 . 1.) Login Admin Entah kenapa, saya tidak bisa menemukan login default admin untuk db_cmsbalitbang terakhir ini, beberapa website diluar divisidatalitbang.net mengatakan bahwa default login adminnya adalah user:admin pass:admin tapi tetap tidak bisa digunakan, triknya adalah mengubah langsung password database dengan phpmyadmin. Masuk kedatabase cms balitbang anda lalu buka table user, lalu edit user admin. Ubah value pada kolom password menjadi 53g83 (= 1) lalu save. Sekarang anda dapat login admin dengan user=admin & password=1 (angka satu) 2.) Captcha Tidak Muncul Captcha ini kita butuhkan pada saat daftar alumni/tamu dan posting opini, permasalahan ini muncu...
Baca selengkapnya

Review Komik "Flash Of Wind"

Sebenarnya ini bukan tulisan boy melainkan tulisan kakak boy tentang review sebuah komik jepang "Flash Of Wind", tapi karna kebetulan di blog ini juga ada label komik jadi yaaa.... gitu deh tapi post ini sudah mendapat persetujuan dari penulisnya kok... FLASH OF WIND Aku mo rekomendasikan komik favorit-ku ini, sebenernya ada beberapa komik yang aku suka dan salah satunya Flash of Wind ini. Aku suka banget sama komik ini, pertama kali beli waktu ada grand opening sebuah toko buku baru di daerahku ( Indramayu ), beli banyak- banyak sampe 18 seri waktu itu, jadi bacanya kaya orang balapan sama adekku. Sebetulnya aku suka semua komik, tapi ga begitu tertarik sama komik yang isinya berantem mulu, tapi komik ini bedaaa....mungkin sedikit cerita ttg berantem, karena komik yang erat sekali dengan peristiwa sejarah jepang jaman dulu ini sebenernya sarat juga akan kisah cinta si tokoh utamanya, yang pasti kocak abis...seru kan? itu yang bikin ga nyangka, dan layak dibaca semua...
Baca selengkapnya