Получение реального формата изображения

08.04.2019 | Категория: Web-мастеру и не только | Автор: ManHunter

Одно из основных правил при разработке web-приложений - не доверять никаким данным, полученным от пользователя. Они могут быть перепутаны случайно, но могут быть специально модифицированы в злонамеренных целях. Это касается в том числе и загружаемых изображений. Чтобы применять к ним функции типа ImageCreateFromXXX, просто ориентироваться на расширение файла недостаточно, оно запросто может не соответствовать содержимому. Для определения реального типа изображения я всегда проверяю внутренний формат файла, его служебные заголовки, и только на основании этого принимаю решение, как обрабатывать этот файл. Для этого у меня написана вот такая функция:

Code (PHP) : Убрать нумерацию

//-------------------------------------------------------------------
// Функция получения реального формата изображения
// (C) ManHunter / PCL
// https://www.manhunter.ru
//-------------------------------------------------------------------
function get_real_image_type($file_path) {
// По умолчанию файл имеет неизвестный формат
$type=false;
// Анализ по внутренней структуре файла
if ($f=fopen($file_path,'r')) {
$data=fread($f,20);
fclose($f);
// Заголовок файла GIF
if (substr($data,0,3)=='GIF'
&& (substr($data,12,1)=="\x00"
|| substr($data,12,1)=="\x01")) {
// Проверка на классические сплойты
if (strpos(substr($data,6,4),'/*')!==false
|| strpos(substr($data,6,4),'//')!==false) {
$type=false;
}
else {
// Проверка на более хитрые сплойты
$tmp=preg_replace('/[^\("\']/','',substr($data,6,4));
if ($tmp=='("' || $tmp=='(\'') {
$type=false;
}
else {
$type='gif';
}
}
}
// Заголовок файла PNG
elseif (substr($data,0,8)==chr(137).'PNG'.chr(13).chr(10).chr(26).chr(10)) {
$type='png';
}
// Заголовок файла JPEG
elseif (substr($data,0,3)==chr(255).chr(216).chr(255)) {
$type='jpg';
}
// Заголовок файла BMP
elseif (substr($data,0,2)=='BM') {
$type='bmp';
}
// Заголовок файла WebP
elseif (substr($data,0,4)=='RIFF' && substr($data,8,4)=='WEBP') {
$type='webp';
}
}
return $type;
}

Единственный параметр $file_path - путь к проверяемому файлу. На выходе строка с реальным типом изображения или false, если файл не является изображением.

Кроме определения типа изображения функция также проверяет GIF-файлы на наличие в них вредоносного кода. Из всех эксплойтов, которые я встречал внедренными в гифки, не прошел ни один. Если вдруг найдете образец зловреда, который не обнаруживается этой функцией, то пришлите его мне, пожалуйста, я с удовольствием доработаю проверку.

Просмотров: 1255 | Комментариев: 6

Метки: PHP, графика

Внимание! Статья опубликована больше года назад, информация могла устареть!

Если на форуме или сайте есть LFI, то заливается аватарка с такой гифкой, после чего сайт имеется во все дыхательные и пихательные. Это о возможностях. А о проявлениях обычно узнают уже по результатам выполнения поставленной задачи. Сам так когда-то баловался, когда надо было наказать нехороших людей.

Petya (01.09.2020 в 12:59):

Я не о том, можете ли Вы рассуждать, а о проявлениях, возможностях и т. п.

ManHunter (01.09.2020 в 12:55):

Достаточно, чтобы о них рассуждать.

Petya (01.09.2020 в 12:49):

А какие эксплойты в gif Вы вообще видели?

morgot (29.04.2019 в 02:03):

Спасибо, очень полезная вещь.

Добавить комментарий

Заполните форму для добавления комментария

Если программист в девять утра уже на работе, значит он там же и ночевал

Главная страница Web-мастеру и не только Образ мышления: Assembler Мои программы Software Темная сторона Силы Обзоры техники А еще я туда ем! Жизнь в оффлайне Всякая всячина

Карта сайта Ссылки Обратная связь Правила сайта Настройки сайта RSS-канал

Материалы, опубликованные на этом сайте, не рекомендуются к просмотру лицам в возрасте до 16 лет без присутствия взрослых.

Метки статей

Свернуть

Вам помог этот сайт?

Поблагодарили 34,315 раз

День работника ломоперерабатывающей отрасли России

День российской полиграфии

День юридической службы Министерства внутренних дел России

День принятия Крыма, Тамани и Кубани в состав Российской империи

День подснежника

Нашли на сайте орфографическую ошибку? Выделите ее мышкой и нажмите

Ctrl

Enter

Буду очень благодарен, если размеcтите мою кнопочку:

<a href="https://www.manhunter.ru" target="_blank"><img src="https://www.manhunter.ru/images/button.gif" alt="Личный блог ManHunter'а" title="Личный блог ManHunter'а" width="88" height="31" /></a>

$Яндекс тИЦ: {YANDEX_TIC}$

Яндекс ИКС: 380

Сейчас я слушаю

---

- автообновление

Powered by PCL's Speckled Band Engine 0.2 RC3
© ManHunter / PCL, 2008-2024
При использовании материалов ссылка на сайт обязательна
Время генерации: 0.08 сек. / MySQL: 2 (0.006 сек.) / Память: 4.5 Mb

	2024 - АПРЕЛЬ
Пн	Вт	Ср	Чт	Пт	Сб	Вс
1	2	3	4	5	6	7
8	9	10	11	12	13	14
15	16	17	18	19	20	21
22	23	24	25	26	27	28
29	30

Получение реального формата изображения

Комментарии

Добавить комментарий