Как определить был ли файл переименован из одного расширения в другой?

Question

[davron2813]

Как определить был ли файл переименован из одного расширения в другой
например на одном сайте разрешено загружать только файлы типа (jpg, png,zip)
а если файл был переименован с test.php на test.png --- как можно проверять на действительность файлов С ПОМОЩЬЮ PHP ?

Answer 1

[FanatPHP]

Определить, был ли файл переименован - разумеется, невозможно.
Про "действительность" - это другой вопрос. В общем случае её определить невозможно. Любой файл вполне может быть корректным с точки зрения двух и более форматов - например, картинкой и пхп скриптом одновременно.

Так что в каждом конкретном случае надо смотреть отдельно - от чего защищаемся, надо ли нам это, и если надо - то как.
Например, про картинки вопрос был совсем недавно. Если хотим убедиться в отсутствии лишнего кода в картинке - ресайзим её через GD.

Answer 2

[Данила]

1) Проверять на сервере:

file -i /tmp/file.php
/tmp/file.php: image/png

2) Отключать выполнение php в директориях, куда разрешена загрузка файлов

Comments

[FanatPHP]

а инклюд ты как отключишь?

[Данила]

FanatPHP: Я конечно давненько с PHP не работал, но разве проверку некой установленной константы уже отменили? (Или нынче этого уже недостаточно?)

[FanatPHP]

при чем здесь это? речь не об инклюде снаружи, а об инклюде изнутри

[Виталий Яковенко]

Данила: если есть возможность инклюдить произвольные файлы, даже изнутри - это уже уязвимость. А загружаемые файлы лучше хранить вне корня веб сервера.

Answer 3

[Микола]

Читать первые байты файла.
В случае php можна проверить наличие в файле строки "<?php" или "<?"

Comments

[davron2813]

а если на сайте разрешено только exe и ему туда впихивают какой-то animal.png переименованный в animal.exe ?

[FanatPHP]

<? встречается, если я правильно помню, в то ли в 1/3 картинок, то ли в 1/10

[FanatPHP]

и непонятно, как по первым байтам файла можно судить о последних