Buenas,
Mi actual proyecto exige que se puedan subir unas pequenias imagenes a modo de foto de cada usuario.
La verdad es que soy completamente novato en esto de subir archivos.
La forma de subirlo y demas, ya la busco yo. Lo que necesito es que me den consejos de seguridad.
Siempre me ha dado mal royo esto de permitir subir archivos, y ahora mas, cuando leo en un articulo que segun la configuracion de apache de mi hosting, podria ejecutarse php con una imagen llamada lokesea.php.gif y puf...
Tambien quisiera saber si aumenta el riesgo al usar la siguiente tecnica para ocultar la direccion, al usar readfile para cargar la imagen en el buffer:
Ocultar la direccion de una imagen con php

Gracias!!!

Gracias.
La verdad, hasta ahora yo tampoco habia permitido nunca que se subieran cosas al server. Soy demasiado paranoico jaja. Pero mi actual proyecto lo exige.

Le mandare un mensaje a sirdarckcat a ver si me puede guiar un poco.

Un saludo.

convierte todos los archivos de formato y modifica la imagen un poco.. (por ejemplo, creando una nueva imagen y anexando la imagen del usuario como extra).

Aunque eso podria tener problemas de seguridad si la libreria que parsea las imagenes tiene algun BoF o algo, tambien deberias de poner todas las imagenes con Content-Disposition: attachment;filename=nombrerandom.extension

Guarda las imagenes en un directorio no accesible via web o en una base de datos.. limita el tam;o de las imagenes, no des acceso a ellas directamente (haz algo como.... verimagen?imagen=191919 o algo similar rescrito con modrewrite o algo asi..) debes cuidarte de bugs de SQLinjection, RFI, LFI, etc..

Asegurate de que si usas una base de datos guardes la informacion en campos binarios (no uses char y demas), valida el referrer que solo sea de fuentes confiables, y si no hay referrer (ya sea porque se esta incluyendo de un sitio con SSL o de un data URI o similar) requiere una cookie generada aleatoriamente del explorador, y haz Location a ti mismo (sin cargar la imagen) para protegerte de ataques basicos de ddos..

La mayoria de estas protecciones son medio extremas, pero pues... asi pasa cuando sucede jaja..

Saludos!!