Upload che non para le shell

Salve a tutti,
mi hanno defacciato il sito perchè, attarverso l'uploiad di immagini, è stata caricata una shell. Per fortuna solo la index è andata perduta. Una cosa è strana: io ho fatto il controllo delle estensioni dei file che caricano, ma la c99 se si chiama .jpg può essere attivata comunque.
Quindi più che controllare l'estensione cosa devo fare? Potrei aprire il file e verificare se ci sono i caratteri <?php e ?> e se ci sono blocco l'upload, ma mi è sembrata una soluzione un po' "sporca".
Ecco il codice dell'upload:

$sorgente = $_FILES['file']['tmp_name'];
    $directory = "hfiles/";
    $nome = basename($_FILES['file']['name']);
    if(file_exists($directory.$nome)) {
        echo "Esiste gi&agrave; un file con ".$nome." come nome.<br>";
        echo "Rinomina il file e riprova.";
    } else {
        $path = pathinfo($nome);
        if(in_array($path['extension'], $ext)) {
            move_uploaded_file($sorgente, $directory.$nome);
            chmod("hfiles/".$nome, 0644); //necessario perchè i permessi non si settano da soli sul mio hosting
            echo "File caricato con successo.<br>";
            echo "Il link del tuo file &egrave;:<br>";
            echo "<textarea style=\"background-color: transparent\" cols=\"50\" rows=\"1\">http://".$_SERVER['SERVER_NAME']."/hfiles/".$nome."</textarea>";
        } else {
            echo "L'estensione del file che cerchi di caricare non &egrave; consentita.";
        }
    } 

Ecco il mio quesito: come posso bloccare l'upload di shell?

fai un controllo sul tipo di file ;)

if($_FILES['file']['type'] == // e tutte le possibilità:
image/png
image/bmp
image/jpeg
image/jpg
image/gif
) { //codice } 

;)

Ciao a tutti , io ho lo stesso problema, c'è una persona che mi carica le shell tramite uploa, ho seguito il vostro consiglio, e il codice lo messo quà

<?php if ($upload="upload"&&$superdat_name){

if (!eregi("\.(mid|gif|bmp|mid|midi|3gp|mp3|wav|jar|jad|jpeg|jpg|sis|mmf|amr|png|wbmp)$",$superdat_name)){
print "<b>Unsupported File Extention!</b>";
}else{
$superdat_name = preg_replace(
             '/[^a-zA-Z0-9\.\$\%\'\`\-\@\{\}\~\!\#\(\)\&\_\^]/'
             ,'',str_replace(array(' ','%20',"'"),array('_','_', ""),$superdat_name));
if(strlen($superdat_name)>53){ print "<b>Nome del file è troppo lungo!</b>";
}else{
if (empty($superdat)) {
print "<b>Nessun file specificato!!!</b>";
}else{
copy("$superdat", "files/$superdat_name") or
die("Couldn't copy file.");

if($_FILES['file']['type'] == // e tutte le possibilità:
image/png
image/bmp
image/jpeg
image/jpg
image/gif
)


$date=(date("D, j F Y"));
$fsize=round($superdat_size/1024,1);
$text = "&&$superdat_name&&$fsize KB&&$date&&$REMOTE_ADDR&&";
$fz = "$fsize KB";
if("$text"!="$check[1]"){
$mysql=mysql_query("INSERT INTO ibwf_uploads SET id='', uid='".$uid."', filename='".$superdat_name."', filesize='".$fsize." KB', date='".$date."', uip='".$REMOTE_ADDR."'");
echo mysql_error();
}
echo "<b>$superdat_name</b> il tuo file è stato caricato con successo";
}
}
}
}
?>
<?php
echo "<FORM align=\"center\" ACTION=\"uploadd.php?sid=$sid&amp;site=$site\" METHOD=\"POST\" ENCTYPE=\"multipart/form-data\">";
?>
<b>Seleziona file da caricare :</b><br/>
<input align="center" type="file" name="superdat"><br/>
<input align="center" type="hidden" name="upload" value="upload"/>
<INPUT align="center" TYPE=SUBMIT NAME="submit" VALUE="Upload File!"><br/><br/></small><br/> <b><u>I file da caricare devono avere questi formati:</u></b><br/>
.jpg, .jpeg, .gif, .png, .bmp, wbmp, .mid, .midi, .mpg, .mmf, .amr, .mp3, .wav, .wmv , .avi, .3gp, .sis, .jar, .jad, .zip, .rar, .txt<br/><br/>
Nota es.: L'Indirizzo della tua Foto/Immagine sarà http://universal3000.altervista.org/chat_universal2/uploaded/files/Animation6.gif<br/>
----------
<?php echo "<br/><small><a href=\"index.php?sid=$sid&amp;site=$site\">Files Caricati</a></small>"; ?>
</FORM>

..ma mi spunta questo nella pagina
Parse error: syntax error, unexpected T_STRING in /membri/universal3000/chat_universal2/uploaded/upload.php on line 49
Dove potrei metterlo esattamente? Grazie per la risposta

prova a modificare così

if($_FILES['file']['type'] == // e tutte le possibilità: 
image/png 
image/bmp 
image/jpeg 
image/jpg 
image/gif 
) {
//resto del codice
} 

No. Bisogna fare una cosa del tipo:

if($_FILES['file']['type'] == // e tutte le possibilità: 
"image/png" || $_FILES['file']['type'] == 
"image/bmp" ||
.... 

[binarysun]

Se è rinominata in jpg non può chiamarla direttamente.
Ma se hai uno script che richiama file e li esegui (tipo include dinamici) si può forzare il caricamento della shell

chiaravalle ho modificato così

copy("$superdat", "files/$superdat_name") or
die("Couldn't copy file.");

if($_FILES['file']['type'] == // e tutte le possibilità:  
image/png  
image/bmp  
image/jpeg  
image/jpg  
image/gif  
) {

$date=(date("D, j F Y")); 

e mi spunta questo
Parse error: syntax error, unexpected T_STRING in /membri/universal3000/chat_universal2/uploaded/upload.php on line 49


gabry modificato il tuo, messo così

die("Couldn't copy file.");

if($_FILES['file']['type'] == // e tutte le possibilità: 
"image/png" || $_FILES['file']['type'] == 
"image/bmp" ||

$date=(date("D, j F Y")); 

e mi spunta questo
Parse error: syntax error, unexpected ';' in /membri/universal3000/chat_universal2/uploaded/upload.php on line 51

Bhè... non chiudi l' If (e neanche lo apri sembra...) :)

if (condizione) {  'codice'; } 

a ok, allora quale delle 2 funzioni va bene, quello di chiaravalle o quello di gabri?

Io avrei fatto qualcosa di simile:

$ok = array("image/png","image/bmp","image/jpeg", "image/jpg", "image/gif");

if(!in_array($_FILES["file"]["type"], $ok))
exit("Estensione file non consentita!"); 

Grazie nokiagame messo tua funzione , non fa nessun errore.

Scusate, dovrei abbassare il limite di KB nel mio upload, e portarlo a 50KB, oppure 80kb , sapete come si fa? il codice è nel post precedente

[mycarlo]

$size = ceil(filesize($_FILES["file"]["tmp_name"]) / 1024);

if($size > 80) {
    exit("Dimensioni massime file superate...");
} 

Saluti!