Как обезопасить сайт от загрузки нежелательных файлов на сервер?

Question

[KarambyG]

Возник серьёзный вопрос по загрузке на сервер файлов. например, изображений. На сервер пользователь может загрузить всё что угодно, поэтому необходимо написать защиту. В связи с этим возникло несколько вопросов.
1. Что делать, если пользователь решил влепить вирус в картинку, и загрузить вирусную картинку на сервер? Как от такого защищаться?
2. Проверку на тип файла = картинка, мне посоветовали этот код. Возник вопрос. Эти 2 проверки идентичные же? Или они обе нужны всё-таки?

if($_FILES["upload_file"]["type"] != "image/jpeg"){
       $error_file1 = "Формат файла не допустимый!<br>";
}
$format= end(explode(".", $_FILES["upload_file"]["name"]));
if(!in_array($format, 'jpg')){
	$error_file1 = "Пожалуйста, загрузите изображение в <b>jpg</b> формате.";
}

Comments

[FanatPHP]

Нет, не Идентичные.
Первая ни от чего не защищает
Вторая это какой-то бессмысленный набор слов, который выдает только ошибки.
Но если ее сделать нормально, то будет достаточно

[KarambyG]

FanatPHP, ну вместо 'jpg' нужен массив array("jpeg", "jpg"), и будет работать :) - этого достаточно?
Да и зачем у PHP есть ["upload_file"]["type"] - если оно ни от чего не защищает?

[FanatPHP]

а что - в РНР должны быть только механизмы, которые от чего-то защищают, и больше никакие? Тогда вам нужен танк, а не программа.

[KarambyG]

FanatPHP, окей. А от вирусных картинок как защитится?)

[FanatPHP]

Во-первых, я не понял логику этого вопроса. Как он следует из предыдущей беседы?

Но если так прям интересно, то сначала надо рассказать нам, что такое "вирусная картинка" и что конкретно в ней опасного. Лично я слышу это словосочетание впервые.
А уже понимая механизм опасности можно выработать защиту.

[KarambyG]

FanatPHP, Ну я не особо понимаю как можно вирус в файл загнать, чтобы он потом творил всякие гадости. Но на сколько я знаю, то картинка открывается через блокнот, и потом туда встраивается код. А потом загружается на сервер.

[FanatPHP]

и что?
ну вот я здесь на тостере могу без всяких картинок, просто в форму с ответом написать любой код и загрузить на сервер. И дальше что?

[KarambyG]

FanatPHP, разве он не будет исполнятся, например, когда эта картинка открывается вбраузере?)

[FanatPHP]

В каком смысле исполняться?
А главное, если некий код из картинки "исполняется" в браузере, то зачем ее на какой-то сайт заливать? Проще просто ссылку дать на картинку и всё.

[KarambyG]

FanatPHP, Каждый твой ответ заканчивается вопросом в мой адрес) Я же не разбираюсь в этом, у меня бесполезно спрашивать)
Я пришёл узнать лишь то, достаточно ли будет моего кода или моя защита аццтой? :)

[FanatPHP]

На этот вопрос я уже отвечал

[ValdikSS]

https://www.php.net/manual/en/reserved.variables.f...

A note of security: Don't ever trust $_FILES["image"]["type"]. It takes whatever is sent from the browser, so don't trust this for the image type.

Answer 1

[Developer]

1.1. Ограничения на размер фото
1.2. ОБЯЗАТЕЛЬНАЯ переконвертация картинки либо в другой формат, либо с изменением качества изображения, пусть и незначительного.
2. Нет, неправильно. Помимо проверки MIME-типа желательно проверять ещё заголовок, обычно это первые 4-5 байт, которые говорят о формате файла

Comments

[FanatPHP]

Как всегда пальцем в небо.
1.1 вообще непонятно, какое отношение имеет к безопасности. Размер файла может быть? Но учитывая дефолтные настройки веб-сервера, специально для этого ничего делать не надо - наоборот, это чтобы большие файлы принимать, надо сервер специально настраивать.
1.2 при нормальной конвертации вообще не защищает, при кривой - тоже так себе.
Если сделали 1.2, то какой смысл в 2? "Где разум, где логика?".

Тот случай, когда вопрос куда осмысленнее ответа.
Вот зачем вы пытаетесь отвечать на вопросы, если очевидно плаваете в теме?
После моих вопросов автор хоть немного начал задумываться над тем что делает.
А после вашего ответа пополнит армию безмозглых болванчиков, которые, как и вы, что-то там делают, но ВАЩЕ не понимают смысла своих действий.

[Mylistryx]

Как по мне - так правильней грузить всё выше web директории и отдавать потом по запросу. Причем можно делать конвертацию под нужный размер при первом запросе и класть уже в веб директорию (типа кеш). Где-то в моих ответах была расписана схема которую мы использовали в bankir.ru.