使用文件名中的撇號上傳文件

Question

我目前在將文件上傳到文件名中包含撇號的服務器時遇到問題。 例如O'Connell.doc當文件名中沒有撇號時，表單可以正常工作。 使用撇號時，我收到500內部服務器錯誤。 它得到form.php？p = apply似乎提交表單然后立即失敗。 任何想法在哪里看？ 謝謝！

Answer 1

剛剛跳到這里，我遇到了類似的問題，原來我的托管/服務器激活了“mod_security”，默認阻止了該文件。 我正在尋找一個在處理之前重寫文件名的解決方案，似乎需要禁用或者mod_security。

Answer 2

聽起來您的表單容易受到代碼注入攻擊。 正在處理文件時解釋撇號，然后您從該失敗中獲得某種錯誤。

所有用戶輸入都需要對將要通過的所有解釋器進行清理。 理想的是，用戶輸入永遠不會被解釋，只能被存儲或調用。 因此，不要在輸入上調用shell，而是在所需的確切可執行文件和參數上使用exec或其他內容。