Безопасная загрузка файлов в WordPress и Elementor

Какие риски создаёт загрузка файлов

Если загруженный файл попадает в доступную из веба папку, а сервер разрешает выполнять в ней скрипты, злоумышленник может попытаться загрузить PHP-файл и запустить его через браузер. Последствиями могут стать установка бэкдора, кража учётных данных, изменение страниц или рассылка спама.

Даже файл без исполняемого кода может быть проблемой. Он может содержать вредоносные макросы, опасные конструкции, чрезмерный объём данных или сведения, раскрывающие конфиденциальную информацию. Отдельного внимания требует SVG: это не просто изображение, а XML-документ, который может содержать скрипты или внешние ссылки.

Риск повышается, если файл доступен по предсказуемому URL, хранится бессрочно или его имя формируется без санитизации. Поэтому необходимо защищать не только сам момент загрузки, но и последующее хранение и использование файла.

• двойные расширения: document.pdf.php или photo.jpg.phtml;
• несоответствие между расширением, MIME-типом и реальным содержимым;
• слишком большие файлы, расходующие дисковое пространство или ресурсы PHP;
• опасные форматы: PHP, CGI, JS, HTML, PHAR и непроверенный SVG;
• доступ к конфиденциальным документам по прямому публичному URL.

Ограничьте форматы и размер в форме Elementor

В поле загрузки Elementor Forms оставляйте только те форматы, которые действительно нужны бизнес-процессу. Для резюме это могут быть PDF и DOCX, для фотографий — JPG и PNG. Не добавляйте универсальные или потенциально опасные форматы «на всякий случай».

Настройки формы не должны быть единственным барьером. Клиентский интерфейс можно обойти прямым HTTP-запросом, поэтому ограничения необходимо дублировать на сервере и в логике обработки WordPress. Точные названия полей и доступные параметры могут различаться в зависимости от версии Elementor и конфигурации сайта.

Установите максимально допустимый размер с учётом реальной потребности. Для короткой заявки нет смысла принимать файлы размером в сотни мегабайт. Убедитесь, что лимит формы не превышает ограничения PHP и веб-сервера, иначе пользователь получит ошибку ещё до обработки запроса WordPress.

• разрешайте только PDF, JPG, PNG или DOCX, если нужны именно эти форматы;
• запретите множественную загрузку, если она не используется;
• ограничьте количество файлов на одну заявку;
• покажите пользователю допустимые форматы и максимальный размер;
• проверьте сценарии с пустым файлом, повреждённым файлом и файлом с двойным расширением.

Проверяйте MIME-тип и реальное содержимое файла

Расширение — лишь часть проверки. Более надёжная схема сравнивает три значения: расширение, MIME-тип и сигнатуру или структуру файла. MIME-тип, переданный браузером, также нельзя считать достоверным, поскольку его можно подделать.

WordPress и PHP могут проверить, действительно ли файл является изображением. Для PDF и DOCX следует проверять MIME-тип серверными средствами и ограничивать набор разрешённых расширений. DOCX фактически является ZIP-контейнером, поэтому одна только ZIP-сигнатура ещё не доказывает безопасность документа.

Если файлы поступают от неизвестных пользователей и имеют значение для безопасности или юридических процессов, полезным может быть антивирусное сканирование на сервере. Оно не заменяет проверку типа, размера и прав доступа, но добавляет отдельный уровень контроля.

После проверки создавайте новое имя файла, а не сохраняйте оригинальное. Имя должно содержать случайный идентификатор, разрешённые символы и корректное расширение. Это снижает риск обхода правил с помощью специальных символов, кодировок или служебных имён.

• не доверяйте заголовку Content-Type, который отправил браузер;
• проверяйте фактический тип с помощью серверных функций или библиотек;
• не разрешайте файлы с расширениями PHP, PHTML, PHAR, CGI, JS и HTML;
• не переименовывайте опасный файл в безопасный без проверки его содержимого;
• удаляйте неудачные или подозрительные загрузки, а не оставляйте их во временной папке.

Запретите выполнение скриптов в папке uploads

Даже идеальная проверка на уровне формы не гарантирует защиту от ошибки в плагине или обхода HTTP-запроса. Критически важно настроить веб-сервер так, чтобы файлы из каталога загрузок не выполнялись как программы.

В типичной установке WordPress загруженные файлы часто хранятся в wp-content/uploads. Конкретный путь может отличаться, поэтому перед изменениями проверьте конфигурацию сайта. Правило нужно применять именно к каталогу загрузок и протестировать на копии или в безопасное время: ошибка в конфигурации может повлиять на работу сайта.

• для Apache запретите выполнение PHP-подобных расширений в каталоге uploads;
• для Nginx добавьте отдельное правило, возвращающее 403 при попытке открыть скрипт в uploads;
• не полагайтесь только на запрет доступа к файлам .php — учитывайте phtml, phar и другие исполняемые расширения;
• после настройки проверьте, что обычные JPG и PDF открываются, а тестовый PHP-файл не выполняется.

<FilesMatch "\.(php|phtml|php[0-9]?|phar)$">
    Require all denied
</FilesMatch>

# Для старых конфигураций Apache может использоваться:
# Deny from all

Пример правила для Nginx

В Nginx правило добавляют в конфигурацию соответствующего виртуального хоста. Путь в регулярном выражении необходимо согласовать с фактической URL-структурой сайта. Если сервер работает через прокси или CDN, тестирование следует выполнять непосредственно на origin-сервере.

• после изменения проверьте конфигурацию с помощью команды тестирования, доступной в вашей среде;
• перезагружайте Nginx только после успешной проверки конфигурации;
• не копируйте правило без адаптации, если uploads вынесен в другой каталог.

location ~* /wp-content/uploads/.*\.(php|phtml|php[0-9]?|phar)$ {
    return 403;
}

Позаботьтесь о хранении и конфиденциальности файлов

Файлы из Elementor могут обрабатываться самим WordPress, плагином или интеграцией, поэтому необходимо выяснить, где именно они хранятся и доступны ли по прямой ссылке. Не считайте файл конфиденциальным только потому, что пользователь не видит его в медиатеке.

Если документ содержит резюме, договоры, паспортные данные или другую персональную информацию, лучше не оставлять его в открытой папке. Более безопасный подход — хранить файл за пределами публичного web root и выдавать его только после проверки прав доступа через контролируемый endpoint. Для временных заявок используйте автоматическое удаление по окончании срока хранения.

Права доступа к каталогам и файлам должны быть минимально необходимыми. Веб-процесс должен иметь возможность создавать и читать нужные файлы, но не обладать избыточными правами на всю файловую систему. Обязательно настройте резервное копирование так, чтобы оно не делало конфиденциальные файлы доступными более широкому кругу пользователей.

• определите срок хранения файлов в политике сайта;
• удаляйте неиспользуемые вложения и временные копии;
• не показывайте оригинальное имя файла в публичном URL;
• ограничьте доступ к конфиденциальным документам проверкой авторизации;
• убедитесь, что резервные копии и журналы не содержат открытых ссылок на персональные данные.

Регулярно проверяйте uploads и журналы

Защита загрузок не является разовой настройкой. После обновления WordPress, Elementor, плагинов или конфигурации сервера правила могут измениться. Регулярный аудит помогает обнаружить проблему до того, как ею воспользуются.

Проверяйте каталоги медиа на наличие незнакомых файлов, неожиданных расширений, файлов со случайными именами и недавних изменений, которые не выполняли администраторы. Отдельно проверяйте файлы .php, .phtml, .phar, .cgi, .js, .html и скрытые файлы.

Анализируйте журналы веб-сервера и WordPress: попытки открыть скрипты в uploads, многочисленные ошибки загрузки, запросы к необычным URL и повторяющиеся обращения с одного адреса могут свидетельствовать об автоматизированном сканировании или атаке.

• проводите проверку после каждого инцидента или подозрительной активности;
• сохраняйте резервную копию до очистки, если может потребоваться дальнейшее расследование;
• удаляйте неизвестные файлы после проверки их происхождения, а не стирайте всё подряд механически;
• ограничьте доступ к административной части и используйте уникальные пароли и 2FA;
• обновляйте WordPress, Elementor, тему и плагины из надёжных источников.

Типичные ошибки при настройке

Чаще всего проблема возникает не из-за отсутствия одного конкретного параметра, а из-за ошибочного предположения, что одного уровня защиты достаточно. Например, расширение .jpg в форме не защищает от файла с двойным расширением, а блокировка PHP не решает проблему конфиденциальности PDF.

После внесения изменений протестируйте загрузку по разным сценариям: разрешённый файл, запрещённый формат, превышение размера, изменённый MIME-тип, двойное расширение, повреждённый документ и попытка открыть файл по прямому адресу. Тестируйте также от имени обычного пользователя, а не только администратора.

• разрешать все форматы, чтобы не создавать пользователям ошибки;
• изменять только настройки Elementor и не проверять сервер;
• считать MIME-тип из браузера доказательством безопасности;
• оставлять загруженные файлы навсегда;
• запрещать весь каталог uploads и случайно ломать отображение изображений;
• забывать о DOCX, SVG и других форматах, которые могут содержать активное или сложное содержимое.