क्या डिफ़ॉल्ट / tmp फ़ोल्डर में फ़ाइलों को अपलोड करना एक सुरक्षा भेद्यता है?

Question

मैं एक सर्वर पर अपाचे के साथ उबंटू चला रहा हूं। मैं POST का उपयोग करके सर्वर पर फाइल अपलोड करने के साथ प्रयोग करना चाहता हूं। Php.ini में आप फ़ाइलों को अपलोड करते समय उपयोग करने के लिए फ़ोल्डर सेट कर सकते हैं। डिफ़ॉल्ट सिस्टम से / tmp फ़ोल्डर का उपयोग करना है।

मेरा प्रश्न: क्या मानक / tmp फ़ोल्डर का उपयोग सुरक्षा भेद्यता है?

अस्थायी फ़ोल्डर के रूप में / tmp फ़ोल्डर का उपयोग करने के लिए कुछ डेटा से समझौता या परिवर्तन किया जा सकता है?

Comments

यदि आपके पास यह नहीं है तो कृपया बुकमार्क करें: Owasp.org/index.php/PHP_Security_Cheat_Sheet

— Rinzwind

Answer 1

लिंक से :

सत्र प्रबंधन

PHP की डिफ़ॉल्ट सत्र सुविधाएं सुरक्षित मानी जाती हैं, उत्पन्न PHPSessionID पर्याप्त यादृच्छिक है, लेकिन भंडारण आवश्यक रूप से सुरक्षित नहीं है:

• सत्र फ़ाइलों को अस्थायी (/ tmp) फ़ोल्डर में संग्रहीत किया जाता है और जब तक suPHP स्थापित नहीं किया जाता है , तब तक यह विश्व योग्य होता है , इसलिए कोई भी LFI या अन्य रिसाव उन्हें जोड़ तोड़ सकता है।

आपके द्वारा /tmp/अपने आप में संगृहीत फ़ाइलों पर भी लागू होता है ।

---

अधिक पढ़ने:

• / Tmp / folder में webserver temp files को स्टोर करने के क्या खतरे हैं?