Получение реального формата изображения

08.04.2019 | Категория: Web-мастеру и не только | Автор: ManHunter

Одно из основных правил при разработке web-приложений - не доверять никаким данным, полученным от пользователя. Они могут быть перепутаны случайно, но могут быть специально модифицированы в злонамеренных целях. Это касается в том числе и загружаемых изображений. Чтобы применять к ним функции типа ImageCreateFromXXX, просто ориентироваться на расширение файла недостаточно, оно запросто может не соответствовать содержимому. Для определения реального типа изображения я всегда проверяю внутренний формат файла, его служебные заголовки, и только на основании этого принимаю решение, как обрабатывать этот файл. Для этого у меня написана вот такая функция:

Code (PHP) : Убрать нумерацию

//-------------------------------------------------------------------
// Функция получения реального формата изображения
// (C) ManHunter / PCL
// https://www.manhunter.ru
//-------------------------------------------------------------------
function get_real_image_type($file_path) {
// По умолчанию файл имеет неизвестный формат
$type=false;
// Анализ по внутренней структуре файла
if ($f=fopen($file_path,'r')) {
$data=fread($f,20);
fclose($f);
// Заголовок файла GIF
if (substr($data,0,3)=='GIF'
&& (substr($data,12,1)=="\x00"
|| substr($data,12,1)=="\x01")) {
// Проверка на классические сплойты
if (strpos(substr($data,6,4),'/*')!==false
|| strpos(substr($data,6,4),'//')!==false) {
$type=false;
}
else {
// Проверка на более хитрые сплойты
$tmp=preg_replace('/[^\("\']/','',substr($data,6,4));
if ($tmp=='("' || $tmp=='(\'') {
$type=false;
}
else {
$type='gif';
}
}
}
// Заголовок файла PNG
elseif (substr($data,0,8)==chr(137).'PNG'.chr(13).chr(10).chr(26).chr(10)) {
$type='png';
}
// Заголовок файла JPEG
elseif (substr($data,0,3)==chr(255).chr(216).chr(255)) {
$type='jpg';
}
// Заголовок файла BMP
elseif (substr($data,0,2)=='BM') {
$type='bmp';
}
// Заголовок файла WebP
elseif (substr($data,0,4)=='RIFF' && substr($data,8,4)=='WEBP') {
$type='webp';
}
}
return $type;
}

Единственный параметр $file_path - путь к проверяемому файлу. На выходе строка с реальным типом изображения или false, если файл не является изображением.

Кроме определения типа изображения функция также проверяет GIF-файлы на наличие в них вредоносного кода. Из всех эксплойтов, которые я встречал внедренными в гифки, не прошел ни один. Если вдруг найдете образец зловреда, который не обнаруживается этой функцией, то пришлите его мне, пожалуйста, я с удовольствием доработаю проверку.

Просмотров: 1310 | Комментариев: 6

Метки: PHP, графика

Внимание! Статья опубликована больше года назад, информация могла устареть!

Если на форуме или сайте есть LFI, то заливается аватарка с такой гифкой, после чего сайт имеется во все дыхательные и пихательные. Это о возможностях. А о проявлениях обычно узнают уже по результатам выполнения поставленной задачи. Сам так когда-то баловался, когда надо было наказать нехороших людей.

Petya (01.09.2020 в 12:59):

Я не о том, можете ли Вы рассуждать, а о проявлениях, возможностях и т. п.

ManHunter (01.09.2020 в 12:55):

Достаточно, чтобы о них рассуждать.

Petya (01.09.2020 в 12:49):

А какие эксплойты в gif Вы вообще видели?

morgot (29.04.2019 в 02:03):

Спасибо, очень полезная вещь.

Добавить комментарий

Заполните форму для добавления комментария

Если программист в девять утра уже на работе, значит он там же и ночевал

Главная страница Web-мастеру и не только Образ мышления: Assembler Мои программы Software Темная сторона Силы Обзоры техники А еще я туда ем! Жизнь в оффлайне Всякая всячина

Карта сайта Ссылки Обратная связь Правила сайта Настройки сайта RSS-канал

Материалы, опубликованные на этом сайте, не рекомендуются к просмотру лицам в возрасте до 16 лет без присутствия взрослых.

Метки статей

Свернуть

Вам помог этот сайт?

Поблагодарили 35,136 раз

День памяти русских воинов, павших при обороне Севастополя и в Крымской войне 1853-1856 годов

День дизайнера-графика

День тестировщика

Международный день красоты

Нашли на сайте орфографическую ошибку? Выделите ее мышкой и нажмите

Ctrl

Enter

Буду очень благодарен, если размеcтите мою кнопочку:

<a href="https://www.manhunter.ru" target="_blank"><img src="https://www.manhunter.ru/images/button.gif" alt="Личный блог ManHunter'а" title="Личный блог ManHunter'а" width="88" height="31" /></a>

$Яндекс тИЦ: {YANDEX_TIC}$

Яндекс ИКС: 360

Сейчас я слушаю

---

- автообновление

Powered by PCL's Speckled Band Engine 0.2 RC3
© ManHunter / PCL, 2008-2024
При использовании материалов ссылка на сайт обязательна
Время генерации: 0.08 сек. / MySQL: 2 (0.0037 сек.) / Память: 4.5 Mb

	2024 - СЕНТЯБРЬ
Пн	Вт	Ср	Чт	Пт	Сб	Вс
						1
2	3	4	5	6	7	8
9	10	11	12	13	14	15
16	17	18	19	20	21	22
23	24	25	26	27	28	29
30

Получение реального формата изображения

Комментарии

Добавить комментарий