html - html5直接文件上传安全隐患？

Question

我正在使用带有 base64 编码（默认）的基于 html5 画布的图像上传。服务器端：当发布请求时，base64 标头被删除，base64_decode 函数（根本不使用 eval php 函数）被应用并以 jpg 格式直接保存到文件系统中。

因为我将上传的文件保存为上传内容的精确副本。如果用户上传伪装成 jpg 的恶意 php/js 文件，并且访问者查看该坏 jpg 是否存在安全风险？如果是，我将使用 gd 处理上传的文件。在 gd-processed 之后，我认为那些将会消失。

Answer 1

因为我将上传的文件保存为上传内容的精确副本。

然后，您在处理任何类型的文件上传时都会遇到所有问题。这里没有特定于 HTML 5 的内容。

如果用户上传伪装成 jpg 的恶意 php/js 文件，并且访问者查看该坏 jpg 是否存在安全风险？

假设您使用image/jpeg内容类型通过 HTTP 交付它 - 不。

但是，过去图像库中存在基于缓冲区溢出漏洞的问题，因此在理论上（尽管不太可能）特制的 JPEG 可以利用最终查看者系统中的安全漏洞。