完全安全的映像上传脚本

当您开始处理安全映像上传脚本时，需要考虑许多事项。现在我远不及这方面的专家，但我过去曾被要求开发过一次。我将介绍我在这里经历的整个过程，以便您可以继续学习。为此，我将从一个非常基本的html表单和处理文件的php脚本开始。

HTML 表单：

<form name="upload" action="upload.php" method="POST" enctype="multipart/form-data">
    Select image to upload: <input type="file" name="image">
    <input type="submit" name="upload" value="upload">
</form>

PHP 文件：

<?php
$uploaddir = 'uploads/';

$uploadfile = $uploaddir . basename($_FILES['image']['name']);

if (move_uploaded_file($_FILES['image']['tmp_name'], $uploadfile)) {
    echo "Image succesfully uploaded.";
} else {
    echo "Image uploading failed.";
}
?> 

第一个问题：文件类型
攻击者不必使用您网站上的表单将文件上传到您的服务器。可以通过多种方式截获 POST 请求。想想浏览器插件，代理，Perl脚本。无论我们多么努力，我们都无法阻止攻击者尝试上传他们不应该上传的东西。因此，我们所有的安全性都必须在服务器端完成。

第一个问题是文件类型。在上面的脚本中，攻击者可以上传他们想要的任何内容，例如php脚本，并按照直接链接执行它。因此，为了防止这种情况，我们实现了内容类型验证：

<?php
if($_FILES['image']['type'] != "image/png") {
    echo "Only PNG images are allowed!";
    exit;
}

$uploaddir = 'uploads/';

$uploadfile = $uploaddir . basename($_FILES['image']['name']);

if (move_uploaded_file($_FILES['image']['tmp_name'], $uploadfile)) {
    echo "Image succesfully uploaded.";
} else {
    echo "Image uploading failed.";
}
?>

不幸的是，这还不够。正如我之前提到的，攻击者可以完全控制请求。没有什么可以阻止他/她修改请求标头，只需将内容类型更改为“image/png”。因此，与其仅仅依赖于 Content-type 标头，不如同时验证上传文件的内容。这就是php GD库派上用场的地方。使用 ，我们将使用 GD 库处理图像。如果它不是图像，这将失败，因此整个上传将失败：getimagesize()

<?php
$verifyimg = getimagesize($_FILES['image']['tmp_name']);

if($verifyimg['mime'] != 'image/png') {
    echo "Only PNG images are allowed!";
    exit;
}

$uploaddir = 'uploads/';

$uploadfile = $uploaddir . basename($_FILES['image']['name']);

if (move_uploaded_file($_FILES['image']['tmp_name'], $uploadfile)) {
    echo "Image succesfully uploaded.";
} else {
    echo "Image uploading failed.";
}
?>

不过，我们还没有做到。大多数图像文件类型都允许向其添加文本注释。同样，没有什么可以阻止攻击者添加一些php代码作为注释。GD库将评估为完全有效的图像。PHP解释器将完全忽略图像并在注释中运行php代码。确实，这取决于php配置，哪些文件扩展名由php解释器处理，哪些不是，但是由于使用VPS，有许多开发人员无法控制此配置，因此我们不能假设php解释器不会处理图像。这就是为什么添加文件扩展名白名单也不够安全的原因。

解决此问题的方法是将图像存储在攻击者无法直接访问文件的位置。这可能在文档根目录之外，也可能在受 .htaccess 文件保护的目录中：

order deny,allow
deny from all
allow from 127.0.0.1

编辑：在与其他一些PHP程序员交谈之后，我强烈建议使用文档根目录之外的文件夹，因为htaccess并不总是可靠的。

但是，我们仍然需要用户或任何其他访问者能够查看图像。因此，我们将使用php来检索它们的图像：

<?php
$uploaddir = 'uploads/';
$name = $_GET['name']; // Assuming the file name is in the URL for this example
readfile($uploaddir.$name);
?>

第二个问题：本地文件包含攻击
虽然我们的脚本现在相当安全，但我们不能假设服务器没有遭受其他漏洞的侵害。常见的安全漏洞称为本地文件包含。为了解释这一点，我需要添加一个示例代码：

<?php
if(isset($_COOKIE['lang'])) {
   $lang = $_COOKIE['lang'];
} elseif (isset($_GET['lang'])) {
   $lang = $_GET['lang'];
} else {
   $lang = 'english';
}

include("language/$lang.php");
?>

在这个例子中，我们谈论的是一个多语言网站。网站语言不被认为是“高风险”信息。我们尝试通过cookie或GET请求获取访问者的首选语言，并基于它包含所需的文件。现在考虑一下当攻击者输入以下 URL 时会发生什么情况：

www.example.com/index.php?lang=../uploads/my_evil_image.jpg

PHP将包含攻击者上传的文件，绕过他们无法直接访问该文件的事实，我们又回到了原点。

此问题的解决方案是确保用户不知道服务器上的文件名。相反，我们将使用数据库更改文件名甚至扩展名来跟踪它：

CREATE TABLE `uploads` (
    `id` INT(11) NOT NULL AUTO_INCREMENT,
    `name` VARCHAR(64) NOT NULL,
    `original_name` VARCHAR(64) NOT NULL,
    `mime_type` VARCHAR(20) NOT NULL,
    PRIMARY KEY (`id`)
) ENGINE=InnoDB AUTO_INCREMENT=0 DEFAULT CHARSET=utf8;

<?php

if(!empty($_POST['upload']) && !empty($_FILES['image']) && $_FILES['image']['error'] == 0)) {

    $uploaddir = 'uploads/';

    /* Generates random filename and extension */
    function tempnam_sfx($path, $suffix){
        do {
            $file = $path."/".mt_rand().$suffix;
            $fp = @fopen($file, 'x');
        }
        while(!$fp);

        fclose($fp);
        return $file;
    }

    /* Process image with GD library */
    $verifyimg = getimagesize($_FILES['image']['tmp_name']);

    /* Make sure the MIME type is an image */
    $pattern = "#^(image/)[^\s\n<]+$#i";

    if(!preg_match($pattern, $verifyimg['mime']){
        die("Only image files are allowed!");
    }

    /* Rename both the image and the extension */
    $uploadfile = tempnam_sfx($uploaddir, ".tmp");

    /* Upload the file to a secure directory with the new name and extension */
    if (move_uploaded_file($_FILES['image']['tmp_name'], $uploadfile)) {

        /* Setup a database connection with PDO */
        $dbhost = "localhost";
        $dbuser = "";
        $dbpass = "";
        $dbname = "";
        
        // Set DSN
        $dsn = 'mysql:host='.$dbhost.';dbname='.$dbname;

        // Set options
        $options = array(
            PDO::ATTR_PERSISTENT    => true,
            PDO::ATTR_ERRMODE       => PDO::ERRMODE_EXCEPTION
        );

        try {
            $db = new PDO($dsn, $dbuser, $dbpass, $options);
        }
        catch(PDOException $e){
            die("Error!: " . $e->getMessage());
        }

        /* Setup query */
        $query = 'INSERT INTO uploads (name, original_name, mime_type) VALUES (:name, :oriname, :mime)';

        /* Prepare query */
        $db->prepare($query);

        /* Bind parameters */
        $db->bindParam(':name', basename($uploadfile));
        $db->bindParam(':oriname', basename($_FILES['image']['name']));
        $db->bindParam(':mime', $_FILES['image']['type']);

        /* Execute query */
        try {
            $db->execute();
        }
        catch(PDOException $e){
            // Remove the uploaded file
            unlink($uploadfile);

            die("Error!: " . $e->getMessage());
        }
    } else {
        die("Image upload failed!");
    }
}
?>

所以现在我们做了以下工作：

• 我们创建了一个安全的地方来保存图像
• 我们已使用 GD 库处理了图像
• 我们已检查图像 MIME 类型
• 我们已重命名文件名并更改了扩展名
• 我们已将新文件名和原始文件名保存在数据库中
• 我们还将 MIME 类型保存在数据库中

我们仍然需要能够向访问者显示图像。我们只需使用数据库的 id 列即可执行此操作：

<?php

$uploaddir = 'uploads/';
$id = 1;

/* Setup a database connection with PDO */
$dbhost = "localhost";
$dbuser = "";
$dbpass = "";
$dbname = "";

// Set DSN
$dsn = 'mysql:host='.$dbhost.';dbname='.$dbname;

// Set options
$options = array(
    PDO::ATTR_PERSISTENT    => true,
    PDO::ATTR_ERRMODE       => PDO::ERRMODE_EXCEPTION
);

try {
    $db = new PDO($dsn, $dbuser, $dbpass, $options);
}
catch(PDOException $e){
    die("Error!: " . $e->getMessage());
}

/* Setup query */
$query = 'SELECT name, original_name, mime_type FROM uploads WHERE id=:id';

/* Prepare query */
$db->prepare($query);

/* Bind parameters */
$db->bindParam(':id', $id);

/* Execute query */
try {
    $db->execute();
    $result = $db->fetch(PDO::FETCH_ASSOC);
}
catch(PDOException $e){
    die("Error!: " . $e->getMessage());
}

/* Get the original filename */
$newfile = $result['original_name'];

/* Send headers and file to visitor */
header('Content-Description: File Transfer');
header('Content-Disposition: attachment; filename='.basename($newfile));
header('Expires: 0');
header('Cache-Control: must-revalidate');
header('Pragma: public');
header('Content-Length: ' . filesize($uploaddir.$result['name']));
header("Content-Type: " . $result['mime_type']);
readfile($uploaddir.$result['name']);
?>

借助此脚本，访问者将能够查看图像或以原始文件名下载图像。但是，他们无法直接访问您服务器上的文件，也无法欺骗您的服务器为他/她访问该文件，因为他们无法知道它是哪个文件。它们也不能暴力破解您的上传目录，因为它根本不允许任何人访问该目录，除了服务器本身。

我的安全图像上传脚本到此结束。

我想补充一点，我没有在这个脚本中包含最大文件大小，但你应该能够轻松地自己做到这一点。

ImageUpload类
由于此脚本的高需求，我编写了一个ImageUpload类，该类应该使所有人都能更轻松地安全地处理网站访问者上传的图像。该类可以同时处理单个和多个文件，并为您提供其他功能，如显示，下载和删除图像。

由于代码只是在这里发布，因此您可以从MEGA下载该类：

下载图像上传类

只需阅读自述文件.txt并按照说明进行操作即可。

走向开源
Image Secure 类项目现在也可以在我的 Github 配置文件上找到。这样其他人（你？）就可以为这个项目做出贡献，并使其成为一个伟大的图书馆。

用PHP上传文件既简单又安全。我建议学习：

• pathinfo - 返回有关文件路径的信息
• move_uploaded_file - 将上载的文件移动到新位置
• 复制 - 复制文件
• finfo_open - 创建新资源fileinfo

要在PHP中上传文件，您有两种方法：和。要将该方法与HTML一起使用，您需要在表单上启用enctype，如下所示：PUTPOSTPOST

<form action="" method="post" enctype="multipart/form-data">
  <input type="file" name="file">
  <input type="submit" value="Upload">
</form>

然后在你的PHP中，你需要用$_FILES获取上传的文件，如下所示：

$_FILES['file']

然后，您需要使用以下命令将文件从 temp（“upload”） 中移出：move_uploaded_file

if (move_uploaded_file($_FILES['file']['tmp_name'], YOUR_PATH)) {
   // ...
}

上传文件后，您需要检查文件的扩展名。执行此操作的最佳方法是使用如下所示：pathinfo

$extension = pathinfo($_FILES['file']['tmp_name'], PATHINFO_EXTENSION);

但是扩展名并不安全，因为您可以上传带有扩展名但具有mimetype的文件，这是一个后门。因此，我建议像这样检查真正的哑剧类型：.jpgtext/phpfinfo_open

$mime = finfo_file(finfo_open(FILEINFO_MIME_TYPE), $_FILES['file']['tmp_name']);

不要使用，因为有时，根据您的浏览器和客户端操作系统，您可能会收到并且此mimetype不是您上传文件的真正mimetype。$_FILES['file']['type']application/octet-stream

我认为您可以使用此方案安全地上传文件。

对不起我的英语，再见！