directory upload

[matric82]

salve a tutti, non sono sicuro che questo sia l'ambito adatto alla mia domanda, lascio al moderatore la decisione.
Ho un sito che permette agli utenti di fare l'upload di immagini, per ora questa cartella in cui vengono copiati (lo script è in PHP) è sotto public_html, settata con i permessi 777.
Vorrei che l'upload venisse fatto in una cartella non accessibile da tutti, in modo da evitare che qualcuno possa fare l'upload di pagine contenenti script.
L'upload è controllato tramite PHP e Javascript, ma penso che la sicurezza migliore sia quella di spostare la directory al di sotto di public_html.
Ho già provato a farlo, ma poi le immagini non si visualizzano.
Spero di essere stato sufficientemente chiaro.
Grazie della collaborazione.

[Samleo]

Anche se la cartella ha permessi 777, non significa che possono caricargli sopra quello che vogliono.

Più che altro dovresti controllare lo script php che si occupa dell'upload vero e proprio!

[matric82]

ok, gli script che si occupano dell'upload controllano il tipo di file, ma se volessi essere più sicuro non è possibile settare la directory in modo che da li non possa essere letta una pagina html o php, magari spostandola al di sopra della directory public_html?
Sto utilizzando un servizio di hosting esterno ma, tempo fa avevo un server in casa che era stato sfruttato da qualcuno per copiare delle pagine contraffatte con lo scopo di fare del phishing, per questo mi pongo questo scrupolo.

[Enoa]

per rendere accessibile una cartella esterna alla document root devi usare Alias:
http://httpd.apache.org/docs/current...ias.html#alias
Ma non la puoi usare negli .htaccess, quindi non la puoi usare negli hosting condivisi.
In ogni caso tutto ciò a cui può accede lo script di upload è affetto dalle sue vulnerabilità.
Se non vuoi mettere cartelle con chmod 777, guardati gli script di upload che sfruttano http e ftp
Ma se quello che carichi è infetto...

[Samleo]

In ogni caso, se il codice delle tue pagine è ben scritto, risulterà impossibile caricare dei file all'interno delle cartelle di public da parte di utenti malintenzionati.

Se limiti troppo i permessi delle cartelle, come hai visto, i file al loro interno non saranno più disponibili!

[Enoa]

se una cartella ha i permessi di lettura/scrittura, non è detto che debba usare lo script di upload per caricarci file dentro.