php - 画像の場所を見つける方法

Question

 move_uploaded_file( $_FILES["images"]["tmp_name"][$key], "img/" . $_FILES['images']['name'][$key])

上記のコードは、私の画像の新しい場所が

"img/" . $_FILES['images']['name'][$key]).

イメージを取得する目的で mysql データベースにこの場所を渡すことができるように、これを変数に格納するにはどうすればよいですか。

Answer 1

値に設定されたファイル名nameはユーザーが指定したファイル名に基づいており、コンテンツや名前の明らかなサニタイズを行わないため、ユーザーは apache で実行可能なファイルをアップロードして、次のような名前を付けることができます。

../../../wickedevilnaughtyfileホストシステムのルートディレクトリまたはそれが属していない同様の厄介な場所でそれを取得し、ファイルを作成してからhttpサーバー（apacheまたはwhatevs）がアクセスできるため、Webブラウザーから実行できます。

これは実際の答えではありませんが、コメントで要求されているように、セキュリティの脅威を説明するには 600 文字以上が必要になる場合があります

ところで、このやや簡潔な説明で何かを見逃した場合、または何か間違っている場合は、自由に編集して、回答であなたの名前に署名してください。