Hij de .zip wordt uitgepakt? Dat betekend toch dat de gebruiker ook o.a PHP bestanden kan uploaden ?

Wat gebeurt er met de uitgepakte zips? Want als ik daar kwaadwillende code inlaad is het per definitie niet veilig.

Stel ik maak een zip, met daarin allemaal php bestanden. Worden deze dan uitgevoerd of niet?

@Sukel
Hoeft niet uitgevoerd te worden, als de bestanden al op de FTP staan is dit al voldoende om kwaadwillende code uit te willen voeren.

Zou ik niet gebruiken nee.

Klopt, maar de bestanden zijn wel aanwezig op de server. Dit is eventueel op te lossen d.m.v. bijv. een .htaccess bestand in de map te plaatsen waarin staat 'deny from all' of php bestanden etc. niet laten uitpakken door je uitpak scriptje.

@Sukel
Ooit gehoord van SHELL99 exploit code? Wellicht handig als je het een en ander uitzoekt daarover dan heb je meer informatie hierover.
Er bestaan nog veel meer van dit soort exploits, ze zien er onschuldig uit maar kunnen je een hoop narigheid bezorgen

Ik raad je aan de zip te uploaden naar een OS safe directory waar os level commands beschikbaar zijn, dan daar met een zip safe file checker via command line interference te controleren of hij veilig is dan uitpakken en verplaatsen met php's stream_to_stream.

Tredgy
Welke advies bedoel je dan precies, zover ik lees raad iedereen het gebruik op de huidige manier af.

Excuse ik las een reactie verkeerd heb de regel van vorige post verwijderd.

Citaat van Wmdiensten

Tredgy
Welke advies bedoel je dan precies, zover ik lees raad iedereen het gebruik op de huidige manier af.

Eigenlijk is het aangeraden om bestanden die je voor de gebruiker niet beschikbaar wilt hebben buiten de webroot te zetten.

Je oplossing met .htaccess (Deny from all) in de "uploads" directory is overigens niet verkeerd en ook niet onveilig. Het nadeel kan alleen zijn dat mocht er een syntax error zijn dat de htaccess mogelijk verkeerd geïnterpreteerd wordt of totaal niet geladen wordt (denk aan verkeerde apache configuratie). Een ander punt is dat je mogelijk met verouderde software werkt waardoor er mogelijke lekken kunnen worden misbruikt, dus zorg dat je software up-to-date is.

Stel dat je dat allemaal gewoon op orde hebt, dan is er niks mis met een .htaccess beveiliging. De gebruiker kan hier niet omheen werken.
Als een kwaadwillende shell access krijgt tot jouw account, dan heb je wel een probleem, maar ik zou mij dan meer druk maken om het feit dat iemand überhaupt toegang heeft gekregen tot een shell account inplaats van je druk te maken om het feit dat ze nu bij die paar geüploade bestanden kunnen.

Mocht shell access voor je account niet ingeschakeld staan, dan is er niks aan de hand.