PHP téléchargement d'image de sécurité liste de contrôle

Re-traiter l'image à l'aide de GD (ou Imagick) et enregistrer l'image traitée. Tous les autres sont juste des fun ennuyeux pour les pirates.

Edit: Et comme rr l'a souligné, l'utilisation move_uploaded_file() pour tout télécharger.

Fin Edit: au fait, vous voulez être très restrictives au sujet de votre dossier de téléchargement. Ces lieux sont l'un des coins sombres où de nombreux exploits arriver. Ceci est valable pour n'importe quel type de télécharger et de tout langage de programmation/serveur. Vérifier https://www.owasp.org/index.php/Unrestricted_File_Upload

XSS Avertissement

Un plus très important remarque. Ne servent pas/télécharger quoi que ce soit qui pourrait être interprété comme du HTML dans le navigateur.

Étant donné que les fichiers sont sur votre domaine, javascript contenues dans ce document HTML aurez accès à tous vos cookies, permettant à une sorte d'attaque XSS.

Scénario d'attaque:

1. L'attaquant upload de fichier HTML avec du code JS qui envoie tous les cookies de son serveur.

2. L'attaquant envoie le lien à vos utilisateurs via mail, MP, ou via une iframe sur son site ou tout autre site.

Plus sécurisée, la solution:

Faire du contenu téléchargé disponible uniquement sur le sous-domaine ou sur un autre domaine. De cette façon, les cookies ne sont pas accessibles. C'est aussi l'un des google des conseils de performances:

https://developers.google.com/speed/docs/best-practices/request#ServeFromCookielessDomain

Créer un nouveau .htaccess dans le télécharge dir et collez ce code:

php_flag engine 0
RemoveHandler .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml
AddType application/x-httpd-php-source .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml

Assurez-vous simplement de renommer les fichiers u téléchargement + oublier la vérification des types, matières, etc

si la sécurité est très importante utilisation de la base de données pour enregistrer le nom de fichier et rebaptisé du nom de fichier et ici vous pouvez changer l'extension de fichier de quelque chose comme .myfile et de faire un fichier php pour envoyer des images avec les en-têtes . php peut être plus sûr, et vous pouvez l'utiliser dans la balise img, comme coup :

<img src="send_img.php?id=555" alt="">

également vérifier l'extension de fichier avec EXIF avant de le télécharger.

Le meilleur façon de garder votre site est sécurisé lorsque l'utilisateur de télécharger l'image est pour cela suit :

• vérifier l'extension de l'image
• vérifier la taille de l'image avec cette fonction "getimagesize()"
• après cela, vous pouvez utiliser la fonction "file_get_contents()"
• En fin de compte, vous devez insérer file_Content à votre base de données
  je pense que c'est le meilleur moyen ! trouver quel est votre avis ?

Je suis en utilisant php télécharger un script qui crée une nouvelle aléatoire de 4 octets pour chaque fichier téléchargé, puis XORs le contenu du fichier avec ces 4 octets (à répéter autant de fois que nécessaire), et enfin l'attache, les 4 octets dans le fichier avant de l'enregistrer.

Pour le téléchargement, les 4 octets doivent être coupés de nouveau le fichier, le contenu sera XORed avec eux à nouveau et le résultat est envoyé au client.

De cette façon, je peux être sûr que les fichiers que j'ai enregistrer sur le serveur ne sera pas exécutable ou ont un potentiel de sens que ce soit, pour n'importe quelle application. En Plus je n'ai pas besoin de base de données supplémentaire pour stocker les noms de fichiers dans.

Voici le code que j'utilise:

Upload:

        <?php
$outputfilename = $_POST['filename'];
$inputfile = $_FILES["myblob"]["tmp_name"];
$tempfilename="temp.tmp";
if( move_uploaded_file($inputfile, $tempfilename) ) {
$XORstring = random_bytes(4);
$tempfile=fopen($tempfilename, "r");
$outputfile=fopen($outputfilename, "w+");
flock($outputfilename, LOCK_EX);
fwrite($outputfilename, $XORbytes1);
while ( $buffer = fread($tempfile, 4) ) {
$buffer = $buffer ^ $XORstring;
fwrite($outputfilename, $buffer);
}
flock($outputfilename, LOCK_UN);
fclose($tempfile);
fclose($outputfile);
unlink($tempfilename);
}
exit(0);
?>

Télécharger:

        <?php
$inputfilename = $_POST['filename'];
$tempfilename = "temp.tmp";
$inputfile=fopen($inputfilename, "r");
$tempfile=fopen($tempfilename, "w+");
flock($tempfile, LOCK_EX);
$XORstring = fread($inputfile, 4);
while ( $buffer = fread($inputfile, 4) ) {
$buffer = $buffer ^ $XORstring;
fwrite($tempfile, $buffer);
}
flock($tempfile, LOCK_UN);
fclose($inputfile);
fclose($tempfile);
readfile($tempfile);
unlink($tempfile);
exit(0);
?>