PHP文件上传安全分析

发布于 2025-01-22 18:56:07 字数 730 浏览 2 评论 0原文

我看到我长期使用的文件上传过滤已被妥协。

当我们查看 Image 上传的选项时，我们可以使用一些功能。我依靠Finfo_open函数来验证该文件确实是一个图像，但不是那么安全。


<?php


// file extension ( Bad )

$mime = end(explode('.','test.gif')); // VALID GIF

print_r($mime); // .gif

// getimagesize ( Worst )

$mime = getimagesize('test.gif')['mime']; // VALID GIF

print_r($mime); // image/gif

// FINFO ( A little good )

$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime = finfo_file($finfo, 'test.gif'); // VALID GIF

print_r($mime); // image/gif

?>

是的，但是我们有问题。它在下面的文件中返回为GIF。

test.gr，


GIF89
<?php

我认为Finfo_open功能会更健康，这给我带来了很多误解。我需要您的建议。

原文

I see that the file upload filtering that I have been using for a long time has been compromised.

When we look at our options for image upload, there are a few functions we can use. I relied on the finfo_open function to verify that the file is indeed an image, but it's not that secure.


<?php


// file extension ( Bad )

$mime = end(explode('.','test.gif')); // VALID GIF

print_r($mime); // .gif

// getimagesize ( Worst )

$mime = getimagesize('test.gif')['mime']; // VALID GIF

print_r($mime); // image/gif

// FINFO ( A little good )

$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime = finfo_file($finfo, 'test.gif'); // VALID GIF

print_r($mime); // image/gif

?>

Yes, but we have a problem. It returns as gif in the file below.

test.gif