Проверка type файлов достаточно ли?

Question

[Алексей]

Пользователи имеют возможность загружать картинки на сайт. Достаточно ли такой проверки на картинок?

if  ((( $_FILES [ "file" ][ "type" ]  ==  "image/gif" ) 
||  ( $_FILES [ "file" ][ "type" ]  ==  "image/jpeg" ) 
||  ( $_FILES [ "file" ][ "type" ]  ==  "image/jpg" ) 
||  ( $_FILES [ "file" ][ "type" ]  ==  "image/png" ))

Comments

[Paulus]

Что является критериями достаточности? Отсутствие возможности исполнять загруженный код? Наличие возможности отображать загруженные файлы в теге img? Еще что-то?

Answer 1

[Александр Варакосов]

Самый действенный вариант - запретить выполнение кода из папки загрузок. Например, с помощью правил в .htaccess.

Comments

[Александр Варакосов]

Весьма экзотический вектор, но направлен на клиент. Один раз видел в действии. Для защиты написал удаление всех метаданных из картинок.

[Назар Мокринский]

Владислав Турчинский: Какой ещё такой вредоносный JS в файлах картинок О_о?

[Александр Варакосов]

Владислав Турчинский: https://blog.sucuri.net/2014/02/new-iframe-injecti... описание атаки.

[Алексей]

Правильно будет если так сделаю?
habrahabr.ru/post/61842

[Александр Варакосов]

Евгений: Вполне.