validering af uploadede filer

<?
include("connect.php");
if(isset($_POST['alrightythen']))
{
    $warning = 0;

    $ext = strtolower(end(explode(".", $_FILES['billede']['name'])));
   
    if (!preg_match('/jpg|jpeg|jpe|gif|png|bmp|tif|raw/', $ext))
    {
        $warning++;
    }

    if($warning == 0)
    {
        if(!copy($_FILES["billede"]["tmp_name"],"../film/pics/" . $_FILES["billede"]["name"]))
        {
            $warning++;
        }
    }

    $ext = strtolower(end(explode(".", $_FILES['film']['name'])));
    if(!preg_match('/wmv|wma|mov|avi|mpeg|mpg|ram/', $ext))
    {
        $warning++;
    }

    if($warning == 0)
    {
        if(!move_uploaded_file($_FILES['film']['tmp_name'],"../film/movies/" . $_FILES['film']['name']))
        {
            $warning++;
        }
    }

    if($warning == 0)
    {
        $title = mysql_real_escape_string(strip_tags($_POST['title']));
        $info = mysql_real_escape_string(strip_tags($_POST['info']));
        $movie = mysql_real_escape_string(strip_tags($_FILES['film']['name']));
        $picture = mysql_real_escape_string(strip_tags($_FILES['billede']['name']));
        $category = mysql_real_escape_string(strip_tags($_POST['kategori']));
        mysql_query("INSERT INTO film (title, info, movie, picture, category, date) VALUES ('$title', '$info', '$movie', '$picture', '$category', NOW())") or die(mysql_error());
        if(mysql_affected_rows()>0)
        {
            echo "Film og billede er uploadet korrekt<br>";
        }
        else
        {
            echo "Der opstod en fejl<br>";
        }
    }
    else
    {
        echo "doh<br>";
    }
}
?>

Det er mere sikkert, at tjekke hvad type filen er, istedet for at tjekke hvad der står efter . i filens navn.

Det kan gøres ved:
$type = $_FILES['billede']['type'];

Så kan du jo tjekke
if(strstr($type, "jpg")) {
echo "En gyldig billede fil";
} elseif(strstr($type, "zip")) {
echo "En gyldig zip fil";
} elseif(strstr($type, "mp3")) {
echo "En gyldig mp3 fil";
} else {
echo "En IKKE gyldig fil.";
}

Hvis du virkelig vil være sikker, skal du checke indholdet af filerne (magic signature)... :)

Hvordan gør man det coderdk?
For at få nogen eksempler på bordet?

Du kunne evt. bruge linux/unix funktionen: file

Ja og, hvad skal man så når man har kørt file(); på sin fil?
Det var for at få noget kode frem, og ikke bare nogen ider/tanker.

Er dette ikke simonhans73's tråd?
Opret evt din egen! :o)

Jeg er dog også meget interessert i en virkelig sikker måde

Hvis du tjekker filendelsen, så er du godt på vej.
Men ellers skal du kigge på kommandoen: file
http://www.novell.com/coolsolutions/tip/16269.html

Der kan du se jakobdo> Hvis du ikke kan komme med et svar, så lad vær med at spille så høj i hatten.

Hvad fanden mener du med det coldgate?
Du har jo fået løsningen i linket ovenover?
Hvis ikke du forstår kommandoen file i linux/unix, så kan jeg jo ikke gøre for det.
Og det har da intet med at spille høj i hatten...

Hvad er sikrest. At bruge $_FILES['billede']['type']; eller filendelse?

$_FILES['billede']['type'] kan snydes.
Det kan filendelsen også, men filendelse må i de 2 tilfælde være mest sikkert.
Evt. kan du jo lave filendelse tjekket først, og derefter tjekke ['type']

Hvordan kan $_FILES['billede']['type'] snydes?
Men ellers kan man jo tjekke om filen's type og extension er 100% identiske..

Coldgate: Jeg vil da ikke fortælle hvordan den kan snydes. http://justfuckinggoogleit.com/

Hvis filendelsen ikke er php kan filen vel under ingen omstændighed køre som php fil vel?

Så hvis man er checkker at filendelsen ikke er php så er vel ikke noget farligt ved noget af det folk uploader?

Folk kunne uploade en exe fil som indeholder virus.
Der kunne uploades mange forskellige ting.
Så jeg vil anbefale du 100% bestemmer hvilke filtyper du vil godkende.

Okay jacobdo.
Var nu mere for at finde ud af hvordan man kunne sikre sig i mod det men jeg søger på google når jeg får tid engang istedet for.

Ok.
Så hvis jeg tillader filer med endelsen zip, jpeg og mp3 og ikke tillader andre filendelser skulle det ikke være farligt vel

Hvad mener du præcist med farligt?
De 3 filtyper vil ikke kunne afvikle kode på din server, som kunne slette noget f.eks.
Men en zip fil vil jo kunne indeholde hvad som helst, som kan være farligt for personen som evt henter filen og eksekvere indholdet.

Ja det med .zip filerne er jo endeligt rigtigt, det har jeg ikke selv tænkt over.
Men ved f.eks. mp3 filer er ulovligt indhold på server fra b-one, samt zip, jpg ect.
Som du kan se her: http://www.eksperten.dk/artikler/977

med farligt mener jeg at de vil kunne slette eller på anden måde lave rav i min server.

Simonhans73: Så er de 3 typer ikke farlige.

i må gerne lægge svar

Svar!

Takker for point! :o)

Det var så lidt..tak for hjælpen