upload1.php

Los usuarios podrán ver los archivos subidos navegando en http://www.midominio.com/uploads/filename.jpg

Y para subir los archivos les mostraremos un formulario como el siguiente:

Un ataque no tiene porque usar el formulario anterior. Se puede escribir un script en Perl y subir archivos o usar un proxy para interceptar y modificar los datos subidos. El código anterior sufre un de un agujero mayor de seguridad. Permite a los usuarios subir ficheros arbitrariamente al directorio uploads/ a partir del raiz. Por lo tanto, se podria subir un fichero PHP y ejecutar comandos en el servidor. El siguiente script en PHP permite al usuario ejecutar comdandos de shell en el servidor.

Si éste fichero se encuentra en nuestro servidor, cualquiera podría ejecutar comandos de shell navegando por ésta dirección http://midominio.com/shell.php?command=Unix_shell_command.

Puedes encontrar en internet muchos más scripts de PHP Shells más sofisticados que permiten incluso ejecutar sentencias SQL.

Por lo tanto debemos controlar que tipo de ficheros se pueden subir al servidor
Comprobar el Content-type

upload2.php

En éste caso, si un usuario intenta subir shell.php, se comprobará el MIME type en la petición de subida del archivo y se rechazará.

Hemos solucionado un problema, pero la comprobación del MIME type se puede saltar fácilmente, como muestra el siguiente script en PERL.

El script en Perl anterior cambia el valor de la cabecera Content-type a image/gif, lo que permite que upload2.php acepte la subida del fichero, aunque sigue trantandose de un PHP shell script.

Validar en contenido del fichero imagen

Utilizaremos la función de PHP getimagesize(). Captura el nombre del fichero como un argumento y devuleve el tamaño y tipo de la imagen.

upload3.php

Se instala como cualquier otro plugin, subes la carpeta al directorio plugins y desde el administrador lo activas. Y al escribir tu post sólo tienes que escribir el código entre las etiquetas [lenguaje] ... [/lenguaje], donde lenguaje es el del script que vayas a incluir. El resultdo es el siguiente.

Debes tener instalada una vesión de wordpress 1.5 o superior y lo puedes descargar desde aquí

iG:Syntax Hilite

Otra de las ventajas de utilizar __autoload, es que evitamos se incluyan definiciones de clases que no utilizamos. Esto mejorará el rendimiento de nuestras aplicaciones ya que solo se cargan las clases que necesitamos. Por otro lado, se debe tener en cuenta de que la función __autoload será llamada recurrentemente, por lo que tendrá que ser definida lo más liviana posible.

En el caso de que estemos desarrollando una aplicación web o escribiendo código que puede ser utilizado por terceros, no es buena idea usar la función __autoload, dado que podría generar eventualmente un conflicto con otra función __autoload definida por terceros. Esto sucede porque lógicamente no puede haber dos funciones con el mismo nombre registradas. Lo que conviene es o bien declararla dentro de una clase o llamarla con otro nombre y luego registrarla en ambos casos mediante la función spl_autoload_register

Podremos ver que la función miAutoload esta registrada solo una vez.

La API de del.icio.us es sencilla, consiste en peticiones HTTPS con autenticación HTTP-Auth. Utilizaremos el método POSTS (así denomina del.icio.us a los marcadores, así los denominaré a partir de ahora) que permite hacer diferentes acciones sobre éstos. La que nos interesa es la que obtiene el listado de posts, además con la opción de filtrarlos por un tag.

Está disponible en http://del.icio.us/help/api/.

Ésta sería la petición:
https://api.del.icio.us/v1/posts/get?tag=public

Nos devolvería en formato XML los posts etiquetados con public, que serán los que queremos que se muestren en la web. Pues vamos a ver como realizar está petición con cURL.
<code>

$peticion = https://api.del.icio.us/v1/posts/get?tag=public;

if (function_exists('curl_init')) {
$o_curl = curl_init($peticion);
curl_setopt_array($o_curl, array(
CURLOPT_RETURNTRANSFER => true,
CURLOPT_USERAGENT => 'http://www.miweb.com',
CURLOPT_CONNECTTIMEOUT => 5, //segundos
CURLOPT_TIMEOUT =>10 //segundos,
CURLOPT_USERPWD => 'username:password'
));
if ($result = curl_exec($o_curl)) {
switch (curl_getinfo($o_curl, CURLINFO_HTTP_CODE)) {
case 200:
$posts = $result;
break;
case 503:
//lanzar error. Bloqueo de la petición temporalmente.
default:
//lanzar error de conexión a del.icio.us
}
curl_close($o_curl);
}

</code>

La función curl_setopt_array() setea las opciones de la petición.

• CURLOPT_RETURNTRANSFER. Lo seteamos a TRUE para devolver el resultado como una cadena de texto que contiene el valor devuelto por la función curl_exec(), en vez de mostrar la salida directamente en la ventana del navegador.
• CURLOPT_USERAGENT.El contenido de la cabecera "User-Agent: " enviada en las peticiones HTTP. Es un requisito de la API de del.icio.us. Por ejemplo podemos poner la url de nuestra web.
• CURLOPT_CONNECTTIMEOUT. El número de segundos que se pueden esperar como máximo intentando establecer la conexión.
• CURLOPT_TIMEOUT. El número máximo de segundos que cURL espera a que se ejecuten las funciones.
• CURLOPT_USERPWD. La API requiere autenticación. Aquí seteamos el nombre de usuario y contraseña con el formato "username:password".

Con curl_getinfo obtenemos el codigo http para comprobar si ha habido algún error. Cabe destacar el error 503, devuelto cuando del.icio.us bloquea la petición por un tiempo si se realizan muchas en un corto intervalo de tiempo. Por lo que sería conveniente añadir un sistema de cache en un archivo de texto para limitar el número de peticiones. El resultado de la petición lo devuelve en formato XML, por lo que tendríamos que parsearlo para mostrarlo en nuestra web. Pero ésto ya es otro tema.