restriction d'extension de fichier

Voici une question dub. Si ce code est censé restreindre les fichiers autres que jpg, png et gif, pourquoi est-il le faire? Il s'agit d'une application navigateur de fichiers. L'image doit être l'une des 3 extensions de fichier acceptés.



Je ne vois vraiment pas l'erreur.

Im juste aller à oublier tout ce que je sais à propos de PHP, et essayer de comprendre ce qui continue en recherchant chaque partie dans les sources de PHP.

Pour commencer, poste $. J'ai besoin de savoir où sa provenance. Il ya plusieurs façons de l'extension peut être déchiffré en utilisant PHP. Theres pathinfo ("filename", PATHINFO_EXTENSION) . Je ne sais pas comment cela détermine si l'extension. Est-il suffit de rechercher une extension sur le nom du fichier, ne l'ouvrez le fichier et regardez le contenu afin de déterminer quel type de fichier il s'agit?

Depuis Im sur un système Windows à l'heure actuelle, mauvais usage findstr pour trouver la déclaration de fonction dans le poste / / répertoire de mon exemplaire du PHP 5.3.3 source.



ce qui m'amène à "standard / string.c" ligne 1459 à trouver la déclaration.



qui, de l'apparence de celui-ci, détermine l'extension, par le suivi en arrière dans le nom du fichier à la recherche d'un point.

Cela signifie que sa possible d'usurper l'extension déterminée par pathinfo en modifiant le nom du fichier avant de télécharger le fichier.


Maintenant, puisque c'est de travailler avec des images ont été, il ya une autre façon de déterminer ce qui peut être $ poste. C'est en utilisant le getimagesize fonction et passer la mine retour constant à la image_type_to_extension () fonction.

Encore une fois, findstr aide pour traquer la déclaration de fonction, commencez par mauvais découvrir comment cette constante mime est déterminé.



Je trouve ma façon de "standard / image.c" ligne de 1294, ce qui me donne cette déclaration.



Jusqu'ici tout va bien, je vois une mention des fonctions de flux dans cette déclaration, il semble être l'ouverture du fichier et en regardant le contenu. Cela ne signifie pas nécessairement le type MIME est déterminée par le contenu mais, mieux poursuivre son enquête.

Cette partie ressemble à un bon endroit pour commencer puisque plus tard dans la déclaration de la variable itype est utilisé pour générer les valeurs de retour des éléments mime.



Depuis cela semble être une fonction thats par rapport à la "image.c fichier" Im déjà, Ill voir si je peux trouver la déclaration il ya par CTRL + F avant d'aller au findstr.

Yep, même dossier, quelques lignes sur la ligne 1219.



Cela semble prometteur. Je vois octets à partir du contenu des fichiers en cours de lecture et par rapport aux signatures connues type d'image.

Il n'a toujours pas de valider le contenu du fichier complet, c'est à dire assez rusé que quelqu'un peut être capable de glisser quelque chose de passé trouble, mais il vaut mieux que de compter sur un nom de fichier facilement modifiables bien.

Bien que <Edit> fonctions du gestionnaire d'image comme «php_handle_png" ne lire la suite dans les fichiers, ils n'ont toujours pas de valider plus loin que l'en-tête du fichier. Cela signifie simplement que, plutôt que précéder de quelques bits pour une signature image, un en-tête ensemble du dossier doit être préfixé au lieu </ Edit>


Je ne vois pas d'autres méthodes spécialement conçus pour déterminer une extension de fichier qui peut être étudié. Alors, je dois chiffre poste $ soit être déterminé en examinant les caractères des dernières années d'un nom de fichier, ou en regardant les premiers octets du fichier.


Maintenant Im se demander, comment est-$ _FILES ["id"] ["type"] a déterminé?
Im ne sais pas par où commencer la recherche de cet élément d'information mais, alors commencez à mal avec la PHP page de manuel pour le téléchargement de fichiers qui me donne ce petit morceau d'information.



Thats un grand drapeau rouge là. "Si le navigateur a fourni cette information", PHP suppose l'entité le chargement du fichier est de dire la vérité sur le fichier. Il peut être falsifiée.


Donc, à ce stade, l'indice ["size]" est à peu près sans importance. Les deux autres éléments peuvent être falsifiés.


Supposons que vous êtes permettant upload d'image, et que quelqu'un trouve où ces ajouts sont stockés et que theyre directement accessible depuis un navigateur.

A en juger par les déclarations de fonctions, et en supposant que les deux pathinfo et getimagesize sont utilisés pour vérifier l'extension, quelqu'un pourrait précéder la signature binaire d'un JPG / GIF / PNG à un script PHP, le nom de l'aide d'un jpg / gif / png extension, et télécharger un script PHP de leur propre conception de l'image dans le dossier upload.

Ce seul fait n'est pas trop mauvais. Un des paramètres par défaut sont généralement les serveurs ne va pas être configuré pour autoriser les fichiers avec les extensions image à traiter comme des scripts PHP, autant que je sache.

Toutefois, si quelque chose de theres, par exemple un générateur d'images aléatoires, dans l'annuaire et le serveur est configuré pour traiter les extensions des fichiers image comme PHP, un attaquant pourrait, connaissant le répertoire et donc le chemin vers le fichier image, d'exécuter ce fichier.


En tout état de cause, pour être sûr, il serait préférable de déterminer le type de fichier à l'aide getimagesize, puis en utilisant la valeur de retour de celui de décider qui fonctionnent sur l'image pour essayer de créer une ressource image à partir de, par exemple imagecreatefrompng et en supposant une ressource d'image valide retourné par cette fonction * imagecreate, puis confiance en elle que la fonction de l'image a à lire et à analyser le contenu du fichier complet afin de retourner un ressource d'image valide.

Il faudra un lot plus de mémoire par l'image de téléchargement, mais il sera plus sûr.

Cela est bien sûr en supposant qu'il n'ya pas de défaut dans l'un des formats de fichiers image ou les bibliothèques que le serveur utilise pour les lire. Mais thats tout un sujet complètement différent.

Désolé j'ai oublié de dire qu'il vient de sauter l'instruction if. Exe $ viens de lire vers l'arrière le nom du fichier d'extraction que l'extension et de le comparer avec ce qui est dans l'instruction if. J'ai pensé à elle en fin de compte, mais ..



Cela a été le principal problème. Je n'ai toujours aucune idée pourquoi il a travaillé auparavant dans la première forme et maintenant je dû faire appel à la seconde pour le rendre utilisable!?

Peut-être que la première version n'a pas été testé suffisamment en profondeur et il me semblait-il fonctionné?

Je suppose qu'il aurait pu être deux versions de PHP utilisées entre alors et maintenant, et qu'il y avait un changement de priorité des opérateurs entre ces deux versions qui a modifié le comportement de ceux "A == B | C |" bits que vous avez là. Je ne me souviens pas de l'audience d'un tel changement, youd ont à examiner que dans le changelog de PHP sur votre propre.

J'ai le pressentiment que sa chose que le pas testé à fond assez bien.