Should I change the default folder for uploads?

Tom

14:39, 07/10/2022

PHP 7 uses the default system folder (/tmp) to store uploaded files. PHP allows you to change the settings and change the upload destination directory. Some sites indicate to change this folder to another one, since the /tmp permission is 777.

OWASP has nothing listed in the security recommendations. Should I really worry about changing this folder to another one or there are no risks?

1 + 0

chia sẻ màn hình

php-fpm

apache-2.4

Ubuntu-20.04

Điểm:1

Server

Lacek

15:13, 07/10/2022

Tôi nghĩ thường không cần thay đổi thư mục tải lên, bởi vì

Chế độ truy cập mặc định của các tệp tạm thời là 0600 và chúng được sở hữu bởi người dùng đang chạy quy trình PHP. Điều này có nghĩa là những người dùng khác không thể truy cập các tệp theo mặc định.
/tmp có bộ bit cố định, có nghĩa là ngay cả quyền truy cập của nó là 777, chỉ chủ sở hữu của tệp mới có thể xóa bất kỳ tệp nào (và tất nhiên là cả quyền root).
Thông thường các máy chủ là các máy tính chuyên dụng và ngày nay với các thùng chứa và ảo hóa thậm chí còn hơn thế nữa. Điều này có nghĩa là có thể không có người dùng nào khác có mặt để có thể xem qua các tệp đã tải lên trong quá trình chuyển tiếp.
Các tệp chỉ ở đó tạm thời, nếu tập lệnh xử lý tệp tải lên thoát ra, các tệp sẽ bị xóa. Vì vậy, ngay cả khi có những người dùng/quy trình không đáng tin cậy xung quanh, họ sẽ cần một điều kiện chung (có thể tồn tại, BTW) để truy cập các tệp và họ vẫn cần vượt qua các hạn chế truy cập đã đề cập trước đó.
Nếu ai đó không được phép từ Internet quản lý để truy cập vào hệ thống tệp trên máy tính của bạn, thì các tệp được tải lên tạm thời là vấn đề nhỏ nhất của bạn.