Fehler im Upload-Script

[Mussen]

hi,

Ich hab ein Dateiuploadscript geschrieben, was leider net funktioniert und ich finde keinen Fehler:

dateiulpoad.html:

<form enctype="multipart/form-data" action="upload.php" method="post">
    <input type="hidden" name="MAX_FILE_SIZE" value="5000">
    <input type="file" name="datei"><br>
    <input type="submit" value="hochladen">
</form> 

upload.php:

<?php

function check_datei()
{
global $datei_name, $dateiname;
    $backupstring = "copy_of_";
    $dateiname = $backupstring."$dateiname";

    if( file_exists($dateiname))
    {
        check_datei();
    }
}

if(!empty($datei))
{
    $dateiname = $datei_name;
    if( file_exists($datei_name))
    {
        check_datei();
        echo "Die Datei mit dem Dateinamen <b>$datei_name</b> existierte bereits.<br> Ihre Datei wurde in <b>$dateiname</b> umbenannt";
    }
    if($datei_size > $MAX_FILE_SIZE)
    {
        echo "Die Datei ist zu groß, die maximale Dateigr&ouml;sse beträgt $MAX_FILE_SIZE Byte(s)";
    }
    else
    {
         copy($datei,"$dateiname");
        if( file_exists($dateiname))
        {
            echo "<br>Die Datei <b>$datei_name</b> wurde mit <b>$datei_size Byte</b> erfolgreich hochgeladen";
        }
        elseif(! file_exists($dateiname))
        {
            echo "Die Datei ist nicht vorhanden";
        }
    }
} 
?>

Könnt ihr mir sagen, wo der Fehler ist?

plz help
mfg Mussen

[Bertel]

AW: Fehler im Upload-Script

Was funktioniert denn nicht?

Schau dir am besten an wie man Argumente an funktionen übergiebt. Mit global wir dein Script nur unübersichtlich und für Fehler anfälliger.

[Ingo]

AW: Fehler im Upload-Script

Hi,

Könnt ihr mir sagen, wo der Fehler ist?

welchen der vielen meinst Du denn?
aber sei froh, dass das Script nicht funktioniert, denn sonst könntest Du ganz schnell viel größere Probleme bekommen. Du willst da so einfach vom User eine xbeliebige Datei auf Deinem Webspace speichern lassen? Soviel Blauäugigkeit schützt vor den Konsequenzen wenig - was, wenn ich ein php-Script hochlade, das dann aufrufe, damit es größtmöglichen Schaden anrichten kann?

Überdenke zunächst alle Sicherheitsaspekte und treffe entsprechende Vorkehrungen gegen einen möglichen Mißbrauch und widme Dich dann den Fehlern. Es wäre auch vielleicht besser, direkt ein vorgefertigtes sicheres Script zu nehmen und dieses dann bei Bedarf anzupassen.

Nur mal ein paar kritische Anmerkungen:

if(!empty($datei)) 

diese Variable hast Du nirgends definiert.

<input type="hidden" name="MAX_FILE_SIZE" value="5000">

diese Usereingabe ist manipulierbar. Ich kann da mit meiner Firefox-Erweiterung ganz leicht auch 1000000 eintragen...

copy($datei,"$dateiname"); 

s.o. - außerdem existiert die Datei noch gar nicht. Nutze die passenden Funktionen, hier move_uploaded_file().

Gruß
Ingo