🚨 O erro que pode dar acesso TOTAL ao seu servidor! (Upload PHP)

Upload de arquivos em PHP: O erro que pode dar acesso total ao seu servidor

Neste Short eu mostro um exemplo didático de uma vulnerabilidade muito conhecida envolvendo upload de arquivos em PHP. Quando o sistema aceita qualquer arquivo enviado pelo usuário e o salva dentro de uma pasta pública sem as devidas validações, um atacante pode tentar enviar um script malicioso e comprometer completamente a aplicação. O objetivo deste vídeo é conscientizar desenvolvedores iniciantes sobre boas práticas de segurança durante o desenvolvimento de sistemas Web utilizando PHP.

"Um pequeno erro na rotina de upload pode abrir uma brecha gravíssima de segurança e permitir que um invasor execute comandos diretamente no seu servidor. Segurança não é um detalhe — ela faz parte do desenvolvimento profissional."

O perigo escondido no upload de arquivos

O upload de arquivos é uma funcionalidade comum em aplicações web. Sites de redes sociais, sistemas de gestão, portais e e-commerces frequentemente permitem que usuários enviem imagens, documentos ou outros tipos de arquivos.

O problema é que muitos desenvolvedores, especialmente os iniciantes, implementam essa funcionalidade sem considerar as implicações de segurança. O resultado pode ser desastroso: um invasor pode enviar um script malicioso e assumir o controle total do servidor.

O código vulnerável

O exemplo abaixo mostra um código PHP aparentemente inocente, mas que contém uma falha grave de segurança:

<?php

$arquivo = $_FILES["foto"]["nome"];
$destino = "uploads/" . $arquivo;

// move o arquivo direto para a pasta
move_uploaded_file($arquivo, $destino);
        

O ataque: RCE (Remote Code Execution)

Um invasor pode enviar um script malicioso como o abaixo:

<?php

echo system($_GET["cmd"]);

// Requisição do hacker:
// https://site.com/uploads/malicioso.php?cmd=cat%20../.env
        

Com este script, o invasor pode:

• Ler arquivos sensíveis como .env, config.php e .htaccess
• Executar comandos no servidor
• Acessar senhas de banco de dados
• Alterar arquivos do sistema
• Derrubar toda a infraestrutura

A correção: validando a extensão

A primeira correção é validar a extensão do arquivo:

<?php

$arquivo = $_FILES["foto"]["nome"];
$destino = "uploads/" . $arquivo;

// Obtém a extensão do arquivo
$extensao = pathinfo($destino, PATHINFO_EXTENSION);

// Verifica se a extensão é permitida
if($extensao !== "jpg")
    die("Negado!");

// move o arquivo direto para a pasta
move_uploaded_file($arquivo, $destino);
        

Boas práticas de segurança para upload em PHP

Código completo e seguro

<?php

// Configurações
$pasta_destino = "uploads/";
$tamanho_maximo = 2097152; // 2MB
$extensoes_permitidas = ['jpg', 'jpeg', 'png', 'gif'];
$tipos_permitidos = ['image/jpeg', 'image/png', 'image/gif'];

// Verifica se o arquivo foi enviado
if (isset($_FILES['foto']) && $_FILES['foto']['error'] === UPLOAD_ERR_OK) {
    
    // Obtém informações do arquivo
    $nome_original = $_FILES['foto']['name'];
    $tipo = $_FILES['foto']['type'];
    $tamanho = $_FILES['foto']['size'];
    $tmp = $_FILES['foto']['tmp_name'];
    
    // 1. Valida o tamanho
    if ($tamanho > $tamanho_maximo) {
        die("Arquivo muito grande. Máximo permitido: 2MB.");
    }
    
    // 2. Valida a extensão
    $extensao = strtolower(pathinfo($nome_original, PATHINFO_EXTENSION));
    if (!in_array($extensao, $extensoes_permitidas)) {
        die("Extensão não permitida.");
    }
    
    // 3. Valida o tipo MIME real
    $finfo = finfo_open(FILEINFO_MIME_TYPE);
    $tipo_real = finfo_file($finfo, $tmp);
    finfo_close($finfo);
    
    if (!in_array($tipo_real, $tipos_permitidos)) {
        die("Tipo de arquivo inválido.");
    }
    
    // 4. Gera nome aleatório
    $nome_aleatorio = bin2hex(random_bytes(16)) . '.' . $extensao;
    $destino = $pasta_destino . $nome_aleatorio;
    
    // 5. Move o arquivo
    if (move_uploaded_file($tmp, $destino)) {
        echo "✅ Upload realizado com sucesso!";
        echo "<br>Arquivo salvo como: " . $nome_aleatorio;
    } else {
        echo "❌ Erro ao fazer upload.";
    }
    
} else {
    echo "Nenhum arquivo enviado ou ocorreu um erro.";
}
        

Bloqueando execução de scripts na pasta de upload

Além da validação no código PHP, você deve bloquear a execução de scripts na pasta de upload:

# Bloqueia a execução de PHP na pasta de upload
<FilesMatch ".*\.(php|phtml|php[0-9]|inc)$">
    Order Allow,Deny
    Deny from all
</FilesMatch>

# Impede a listagem de diretórios
Options -Indexes
        

⏱️ Capítulos do vídeo

• 00:00 — Upload aparentemente inocente
• 00:07 — Como um invasor explora a falha
• 00:19 — O risco para o servidor
• 00:32 — Primeira correção

Conclusão

O upload de arquivos é uma funcionalidade comum, mas que exige atenção redobrada à segurança. Um pequeno erro pode comprometer todo o servidor e os dados dos usuários.

Neste artigo, você aprendeu:

• ✅ Como uma falha de upload pode ser explorada por invasores
• ✅ O que é RCE (Remote Code Execution) e seus riscos
• ✅ Como validar extensões, MIME types e tamanhos de arquivos
• ✅ Como gerar nomes aleatórios para arquivos
• ✅ Como bloquear a execução de scripts na pasta de upload
• ✅ Boas práticas de segurança para uploads em PHP

🤔 O que você achou?

💬 Quer aprender JavaScript do ZERO? Comece agora a escrever seu primeiro código e seus fundamentos!

❓ FAQ: Perguntas Frequentes sobre Upload e Segurança em PHP

🎬 Assista ao Vídeos completo sobre Refatoração

O vídeo foi feito em Javascript mais o conceito pode ser utilizado em qualquer outra linguagem de programação..

🔗 Conecte-se Comigo