enartemy 14 ноя 2008 в 13:06

Безопасная загрузка изображений на сервер. Часть первая

10 мин

138K

PHP *

Перевод

+61

Комментарии 57

VozisoV 14 ноя 2008 в 13:13

БезопасТная = false;
Безопасная = true;

xgraph 14 ноя 2008 в 14:16

ferrari 14 ноя 2008 в 14:43

общая лента = плохо
личное сообщение(хабрапочта) = хорошо

null 14 ноя 2008 в 14:02

Отличный цикл статей на очень актуальную проблему.
Пракически каждый второй самописный проект с формой заливки изображения имеет подобные уязвимости, как это ни печально :(

НЛО прилетело и опубликовало эту надпись здесь

enartemy 14 ноя 2008 в 14:28

Причитайте вторую часть, там рассказано про это.

vrent 14 ноя 2008 в 14:23

Если у изображения будет расширение php5 или какое-то другое неучтенное в blacklist, то скрипт успешно выполнится. Имхо намного безопаснее использовать whitelist: array('gif',jpg, ...)

enartemy 14 ноя 2008 в 14:30

Файлы с расширением php5 — выполняются? Первый раз слышу. Блеклист и whitelist — оба плохих решения, лучше всего как я сказал присуждать расширение файла автоматически, на основе его проверенного типа.

dot_bobrovod 14 ноя 2008 в 15:05

php5, php4, php3 исполняются — бывают всякие настройки

oWeRQ 14 ноя 2008 в 16:08

Если вам нужно сделать загрузку картинок, то лучше использовать белый список расширений, если же просто загрузку аттачей, то блеклист исполняемых расширений.

tapin13 14 ноя 2008 в 16:11

добавляем в Apache2\conf\httpd.conf
AddType application/x-httpd-php .php5

Расширение может быть любым, хоть jpg и gif :)

Flex25 14 ноя 2008 в 19:16

tapin13, но если злоумышленник получит доступ к httpd.conf или хоты бы .htaccess, то можно считать, что безобасность сервера уже нарушена и его уже ничто не спасет. Поэтому стоит признать, что whitelist намного более безопасен.

deerua 14 ноя 2008 в 14:28

в мемориз :)

Maximark 14 ноя 2008 в 14:45

Вообще надо сразу делать resize картинки, в итоге если бы это был скрипт — будет ошибка, если ошибка — удаляем.
Даже если будет замаскирован скрипт, то «внутренности» файла сильно изменятся и соответсвенно скрипт не сработает.
Это так сказать самый простой вариант «борьбы»

Maximark 14 ноя 2008 в 16:10

Ну и почему минус?
Аргументы можно?
Я опущу ошибки в путях сохранения файла (по умолчанию надо «разбирать» get post cookie и проверять)

При resize файл изменяется содержимое файла — если скрипт, он просто не заработает, так как тоже подвергнется видоизменениям. Если функция resize выдаст ошибку — просто удаляем файл.

Ну и почему минус? Троллим?

dot_bobrovod 14 ноя 2008 в 14:55

объясните плиз, как проверять Content-Type не изображения (скажем .avi) в случае подмены MIME-типа?

enartemy 14 ноя 2008 в 15:08

Обычно с помощью тех модулей, которые отвечают за обработку данного типа. В случае avi это будет ffmpeg.

Хотя вроде я видел специальные библиотеки для вычисления MIME-типа файлов. Но может ошибаюсь.

dot_bobrovod 14 ноя 2008 в 15:11

ну в случае использования ffmpeg понятно — там можно тупо конвертировать файл при загрузке и вредоносный код перестает существовать.

интересно тогда знать, ну допустим подменил я mime-тип засунув пхпшный файл с раширеним .avi.
неужели его открытие в браузере вызовет исполнение php-кода?

enartemy 14 ноя 2008 в 15:14

Если .avi — нет, т.к. этот формат не будет выполним. А вот если ваш avi имеет расширение php то да, выполнится.

hlomzik 17 ноя 2008 в 15:08

Не совсем. Злополучный IE пытается казаться умным и может выполнить код в image/jpeg например. Но это правда уязвимости другого рода — сервер *.avi файл не будет выполнять ;)

dot_bobrovod 14 ноя 2008 в 15:15

прочитал последний абзац второй главы и нашел ответ на вторую часть вопроса.
получается единственно безопасное для видео файлов, помимо всех проверок — конвертировать их при аплоаде.

enartemy 14 ноя 2008 в 15:18

Ресурсоемко. Достаточно изменить расширение.

dot_bobrovod 14 ноя 2008 в 15:25

ясно. проверка на Content-Type не имеет особого смысла, если MIME все равно можно сделать любым. достаточно проверять на whitelist расширений.

leemuar 17 ноя 2008 в 13:03

Для PHP есть расширение «fileinfo», прекрасно работающее под *nix'ами

kurokikaze 14 ноя 2008 в 15:22

У вас там «загрузка фалов» в первом предложении.

Так выглядит фал

coldFlame 14 ноя 2008 в 15:33

А можно просто запретить выполнение PHP-скриптов из директории uploads директивой в .htaccess:

php_flag engine off

Вот и все. Только, конечно, стоит запретить перезаписть .htaccess (;

enartemy 14 ноя 2008 в 15:35

Во второй части уже предлагали сделать что-то вроде этого.

Benderlidze 1 фев 2009 в 13:57

Спасибо, а как запретить и в поддиреториях этого каталога?

Angerslave 14 ноя 2008 в 15:48

Можно было бы просто написать — никогда не делайте инклуд пользовательских данных. Проблема, имхо, высосана из неправильного архитектурного решения.

AgaFonOff 14 ноя 2008 в 16:11

Вчера нарыл: www.getid3.org/ getID3() is a PHP script that extracts useful information from MP3s & other multimedia file formats.

Reads & parses (to varying degrees):
* AIFF
* APE tags: v1 and v2
* ASF: ASF, Windows Media Audio (WMA), Windows Media Video (WMV)
* AU
* BMP
* Bonk
* CD-audio (*.cda)
* FLAC
* Flash
* GIF
* ID3v1 & ID3v1.1
* ID3v2.4, ID3v2.3, ID3v2.2
* ISO-9660 CD-ROM image (directory structure)
* JPEG
* LA (Lossless Audio)
* LPAC
* Lyrics 3: v1 & v2
* Lyrics3 v1 & v2
* MIDI
* Monkey's Audio
* MP3/MP2/MP1
* MPC / Musepack
* MPEG video
* NSV (Nullsoft Streaming Video)
* Ogg (Vorbis, OggFLAC, Speex)
* OptimFROG
* PNG
* Quicktime
* RealAudio, RealVideo
* RIFF: AVI/WAV
* Speex
* VOC
* VQF
* WavPack
* ZIP (directory structure)

MIC 14 ноя 2008 в 21:51

классная штука, жаль не в тему

AgaFonOff 15 ноя 2008 в 10:28

Вы точно читали топик и комментарии?
В части определения типа загружаемого контента.

AmdY 14 ноя 2008 в 17:02

а зачем вообще использовать имя присланного файла, между прочим это тоже баг. move_uploaded_file перезапишет существующий файл с таким же именем. нужно генерить уникальное имя и цеплять к нему нужное расширение

MisterX 14 ноя 2008 в 19:07

выше описаные методы работать не будут, в случае kestas.kuliukas.com/JavaScriptImage/forumlogo2.png (Открываем в ИЕ), поэтому делаю ресайз пикчи на 1 пиксель, при желании можно потом на один пиксель увеличить, тогда JavaScript рушится.

MisterX 14 ноя 2008 в 19:10

Точно такая же ситуация в ИЕ с PDF-ом, www.splitbrain.org/_static/IEtests/test.pdf (опять же в ИЕ) все остальные браузеры вроди нормально.

Richard_Ferlow 14 ноя 2008 в 19:32

Имя генерируем уникальное — в папке запрещаем выполнение скриптов. Вроде все.

А как могут модифицировать изображение, что оно скриптом станет?

По идее можно на сервере настроит, что хоть pdf как php обрабатываться станет.

easterism 14 ноя 2008 в 21:18

мда, читаю это всё и думаю, толи php разработчики ничего не знают кроме php, толи они и самого php не знают.
Ну да ладно, для начинающих сойдёт.

taliban 14 ноя 2008 в 21:48

а к чему это было сказано? можно обьяснить свою мысль более подробно? мне например интересно Ваш ход мыслей в данном случае

taliban 14 ноя 2008 в 21:45

помоему проще и надежней загружать картинки в папочку с .htaccess который запрещает доступ, и выдавать для просмотра картинки через скрипт…

denis56 14 ноя 2008 в 22:21

Вопрос, а почему нельзя совсем просто поступить и допускать файлы только с расширениями из white list, не проверяя содержание? Ну и пусть внутри будет находиться вредоносный код, если файл будет с расширением .jpeg, например, то ведь всё равно ничего не выполнится?

AlexSpaizNet 14 ноя 2008 в 23:38

ну а если тебе закинут в папочку htaccess с командой которая будет говорить выполнять jpeg как php? :)

denis56 15 ноя 2008 в 16:02

да, но я не принимаю файлы, не прошедшие через фильтр допускаемых расширений. Конечно можно директивы .htaccess спрятать в файле под расширением .gif, и он сохранится в папке для картинок, но исполняться-то всё равно не будет? Правильна ли логика?

kurokikaze 15 ноя 2008 в 22:05

htaccess с расширением jpg просто не сработает.

apla 15 ноя 2008 в 10:31

хорошая статья. пойду нафиг выкорчую php на сервере.

developer 15 ноя 2008 в 13:05

Как видно, переводчик PHP игнорирует двоичные данных в…

интерпритатор, компилятор, интерпретирующий компилятор, пожалуйста, не обзывайте «переводчик»

а вообще по статье хорошо, но не все. что конкретно картинок касается, то нужно работать по схеме разрешено разрешенное, а не незапрещенное, тоесть пере конвертировать картинку