100% 安全的照片上传脚本

Question

问题很简单。如何使用 php 制作 100% 安全的照片上传脚本？是否有任何教程可以显示所有可能的安全漏洞？

不要让我看this question，因为那里他们只谈论大小。但我想确定的是，没有人可以上传 shell 和其他东西。因为它是一个大网站，需要 100% 安全的照片上传脚本。

编辑： 或者我应该允许会员将图片上传到像 imageshack 这样的容器并将他们的链接复制到我的网站？我猜它是 100% 安全的，对吧？

Answer 1

这真的很简单。通过已知安全的图像过滤器运行所有上传的图像。如果它以“不是图像错误”而反弹，则说明您有恶作剧。 （一个简单的例子是恒等变换，或 JPEG 质量标准化技术。）重要的一点是实际使用过滤器的输出，而不是原始文件。

Answer 2

正如你提到的，there's another question that addresses the issue。作者指出，只要他只接受正版图像文件并保持文件大小，他就应该是安全的，这是你唯一能做的事情。检查扩展名和 MIME 类型并拒绝任何与您想要的格式不匹配的内容。仍然有 RFI（嗯，这里更像是 LFI），但只要您不是在不执行完整性检查的情况下随意包含文件，您就可以开始了。

Answer 3

您需要考虑和注意的事项：

文件扩展名：网络服务器使用文件扩展名来确定发送给客户端的 MIME 类型。您应该使用您允许的扩展白名单。在您的情况下，这将是图像扩展。

LFI： 正如 Matchu 已经提到的，本地文件包含可能是一个问题。如果您的应用程序具有允许您包含任意文件的动态包含，例如。 include($_GET['myfile']); 它可能导致任意 PHP 执行。因此，您需要使用basename() 来保护此类包含。这甚至可能发生在图像上，因为它们可以包含嵌入的 cmets。

MIME-Type-Detection：这其实不是很为人所知，也没有太多关于它的信息。 IE<script>alert('hello');</script>，那么 IE

要防止图像出现此问题，您可以使用 Williham Totland 提到的方法。我建议使用getimagesize() 来检测图像是否有效并确保扩展名与类型匹配。

$image_filename = 'uploaded_image.gif';
$image_extension = substr(strrchr($image_filename, '.'), 1);

$mime_mapping = array('png' => 'image/png', 'gif' => 'image/gif', 'jpg' => 'image/jpeg', 'jpeg' => 'image/jpeg');
$info = getimagesize($image_filename);

if (!$info) {
    exit('not an image');
}

if ($info['mime'] != $mime_mapping[$image_extension]) {
    exit('wrong extension given');
}

// all checks passed
// image can be saved now

有一篇关于这个问题的文章here。