Bloc-note de développeurs

Sécurité : basename

En ce qui concerne la sécurité lors de l’utilisation du système de fichiers, la fonction basename de PHP fait vite parler d’elle. Elle permet d’extraire uniquement le nom du fichier dans une chaîne de caractères.

Par exemple, utilisons le code ci-dessous qui permet de télécharger un fichier passé grâce à la méthode GET :

<?php
	$path = '/mes_fichiers/';
	$file = $_GET['file'];
	readfile($path.$file);
?>

Ce code, très simple, affiche le contenu d’un fichier. Mais voilà … il a une énorme faille.

Astuce : Forcer le téléchargement d’un fichier

Dans cet article je fais vous parler d’un problème auquel vous avez sûrement fait face si vous avez déjà fait un site qui propose le téléchargement de fichiers. Problème En effet, vous l’avez deviné, le problème se pose lorsque vous souhaitez proposer le téléchargement de fichier web (par exemple : html ou php). Vous ne [...]