上传到临时目录的病毒文件

[falcon05]

web应用，用户构造请求上传文件，传输完成后，这样在php进行处理之前文件已经存在于服务器的临时目录里了，以phpXXX之类的文件命名，之后脚本处理完成，该文件从临时目录里删除，是这样的流程对吧？

问题来了，由于上传的临时可以是任何文件，当然可以是病毒，于是就有不少这种上传漏洞的机器人，服务器装了个赛门铁克，运维每隔几天给我发邮件，说临时目录发现病毒。我只能看访问日志屏蔽非法上传的ip，（吐槽一下，运维太渣渣，连根据请求头的host和url屏蔽请求也做不到。）好烦，问大家有没什么好的办法。

[MeirLin]

上传的时候加验证，只接受白名单的格式 当然这得看你业务需要了，还有上传的目录一定要做好权限 最好和站点分离
tips： http://sebug.net/node/t-16
　　　 http://sebug.net/paper/other/%E4%B8%8A%E4%BC%A0%E9%AA%8C%E8%AF%81%E7%BB%95%E8%BF%87.pdf

[Septembers]

临时目录仅给予读写权限并限制组 确保没有执行权限
设置 赛门铁克 忽略该临时目录

[Tianpu]

检查下mine-type 然后没有执行权限

[ryd994]

mount noexec

[dong3580]

代码过滤后缀，服务器做文件夹映射。另外上传我向来是映射到另一个盘的文件夹的，而且设好该文件夹权限。

[NewYear]

楼主你好，请你下次处理上传文件的时候，把文件名和其他信息自己存起来……这在代码里不难实现吧（这么简单！你也说上传后php是要处理的！php处理的时候顺便把相关信息也发射一个到数据库里就好啦！）

那么运维会不会也是这样想的呢？所以能不依赖别人就不依赖

[gamexg]

上传到第三方就不需要担心病毒了。