Apache + mod_php5... occhio ai form di upload? ... :S

**EvolutionCrazy** · 13-02-2007, 13:15

Premetto che ho provato su svariate macchine, svariati OS, svariate configurazioni...

Questo quello che succede:

apache (qua non ho provato molte versioni... qualcuno ha la 2.0.59 e php come modulo?), php5 (qualsiasi vers, provato fino alla 5.2.0, se qualcuno mi conferma la 5.2.1 mi fa un gran favore, cosi' posso aprire un bug :P ) come modulo...

cosa succede:
files che CONTENGONO nel nome del file .php vengono parsati ed eseguiti da php...

un esempio:
scaritate sto file:
http://www.evcz.tk/1_grin.rar

scompattatelo e caricate il file risultante con lo stesso nome... richiamandolo da apache mostrerà il phpinfo().... pur NON AVENDO ESTENSIONE .php (io ho addhandler solo per .php e .phps!!!)

esempio su altervista:
http://evcz.altervista.org/php5/1_grin.gif.php.gif

stesso file invece su php4 invece mosta la faccina... :S

con php come cgi da errore 500 (su php4) o 503 (su php5), con mod_php (php4) invece non lo esegue come dovrebbe essere...

la cosa grave è che tutti i form di upload... il file la sopra infatti dovrebbe passare tutte le valutazioni (mimetype, etc...) in quanto sembra un'immagine vera...

l'unico sistema che non mi ha dato problemi e non "eseguiva" era gentoo 64bit (apache 2.0.58 e PHP 5.1.6-pl8-gentoo)... dopo vedo se riesco a provare su una vers 32bit...

**Alex** · 13-02-2007, 14:29

testato su gentoo, debian/testing e ubuntu con php5.1.6 e si vede la gif correttamente

probabile che ci sia un errore nella conf di apache

**EvolutionCrazy** · 13-02-2007, 16:37

guarda.. ci sono solo i due addhandler... :S

gentoo 32bit?

**Alex** · 13-02-2007, 21:58

li volevo vedere appunto perchè se hanno un * alla fine è normale che facciano così.
Si 32bit

**EvolutionCrazy** · 13-02-2007, 22:05

AddType application/x-httpd-php .php
AddType application/x-httpd-php-source .phps

...

su gentoo non mi dava problemi (provata sulla 64 io)

**EvolutionCrazy** · 16-02-2007, 12:57

alex:

http://www.cve.mitre.org/cgi-bin/cve...=CVE-2006-4558

ci sono "bug" dal 2005... aperti su certi software e script... e io non l'ho mai considerata quella cosa :S

come mai va su gentoo e non su altre distro?