7

我已经创建了（使用脚本和一些来自 Stack 的帮助以及一些来自朋友的帮助；我对 PHP 知之甚少）一个用于本地非盈利出版物的简单页面，人们可以在其中上传照片。

我对安全性不是很好（出于无知，而不是故意疏忽），但我已采取以下步骤来保护此页面：

• PHP 脚本设置为只接受.jpg、.png 和.tif 文件进行上传；
• 保存表单内容的子文件夹权限设置为700，保存上传照片的子文件夹权限设置为700；
• 根据文档，我的主机具有以下配置，以确保只有 .php 文件作为 .php 运行：

<FilesMatch \.php$>
    SetHandler php52-fcgi
</FilesMatch>

• 我在相关（主要和保存的内容）文件夹中放置了一个 .htaccess 文件：

RemoveHandler .php
RemoveHandler .inc
RemoveHandler .pl
RemoveHandler .cgi
RemoveHandler .py
RemoveHandler .fcgi

然而，一夜之间，有人找到了这个测试页面，并提交了一个看似完美无害的测试消息和小 .jpg。这是一个私人测试页面，其 URL 不直观，只有我和其他三个人知道；其他人都没有发送此测试。

这显然让我担心会发生一些奇怪的事情，而且我担心我对安全性的了解不够，无法确保此页面的安全。

我有什么明显的遗漏吗？

4

4 回答 4

8

在处理上传时，您应该记住，您可以在 $_FILES 数组中找到的所有数据都可能是伪造的。它通过 HTTP 传输，因此很容易将图像/jpg mime 提供给可执行文件，例如。

1-检查真实的哑剧

PHP带有一些功能来检查文件的真实mime。为此，您应该使用fileinfo

$finfo = new finfo(FILEINFO_MIME, "/usr/share/misc/magic");
$filename = "/var/tmp/afile.jpg";
echo $finfo->file($filename);

2-检查图像的属性

您显然只想上传图片，因此接收到的文件必须有一个宽度和一个高度：

使用getImageSize()获取有关图像的所有必需信息。如果它返回 false ，则该文件可能不是图像，您可以将其删除。getImageSize 也可以给你一个 mime 类型，但我不知道它是否可以信任。

2.5- 重新处理图像

正如 user628405 所建议的，使用 GD 重新处理图像可能是更安全的做法。

$img = imagecreatefrompng('vulnerable.png'); 
imagepng($img, 'safe.png');

显然，它必须根据图像类型进行调整。查看 php 文档中的所有 imagecreatefrom*。

3-上传文件夹 除了你已经做的：

确保您的上传文件夹在网络上不可用。验证上传的文件，然后根据需要将其移动到其他文件夹并重命名文件。它将防止黑客执行恶意文件（如果无法通过 url 访问，则无法执行）。

进一步阅读：https ://www.owasp.org/index.php/Unrestricted_File_Upload

于 2012-09-07T13:42:09.187 回答
4

不要依赖来自客户端的任何数据，包括内容类型！

不要将上传的文件保存在 Web 根目录中。上传的文件应该只能通过您的脚本访问，以便更好地控制。

不要使用原始文件名和扩展名保存上传的文件！将此数据存储在数据库中以供以后检索。

于 2012-09-07T13:45:41.787 回答
0

您可以检查文件的 MIME 类型，但不必担心，只要您的 php 处理程序只能执行 .php 文件并且您注意不在脚本中保存上传的 .php 文件，就不会暴露任何安全漏洞。

这对于 .php 文件以及安装在您的服务器上的任何其他服务器端脚本语言当然是有效的。

一个更好的主意是保留您接受的扩展的白色以保存在您的文件系统上。

于 2012-09-07T13:24:40.757 回答
0

我会忽略传入文件的 MIME 类型和文件扩展名。这些是可以伪造的。

如果您要走这条路，请将这些文件存储在目录中。

确保该目录仅用于图像（音乐），然后通过查看文件格式获取脚本以在其上放置正确的扩展名。

还要确保该目录不能执行 PHP（或其他任何东西）。

这将保证您的安全。

于 2012-09-07T13:31:00.947 回答