Проверка type файлов достаточно ли?

Question

[Алексей]

Пользователи имеют возможность загружать картинки на сайт. Достаточно ли такой проверки на картинок?

if  ((( $_FILES [ "file" ][ "type" ]  ==  "image/gif" ) 
||  ( $_FILES [ "file" ][ "type" ]  ==  "image/jpeg" ) 
||  ( $_FILES [ "file" ][ "type" ]  ==  "image/jpg" ) 
||  ( $_FILES [ "file" ][ "type" ]  ==  "image/png" ))

Comments

[Paulus]

Что является критериями достаточности? Отсутствие возможности исполнять загруженный код? Наличие возможности отображать загруженные файлы в теге img? Еще что-то?

Answer 1

[Александр Варакосов]

Самый действенный вариант - запретить выполнение кода из папки загрузок. Например, с помощью правил в .htaccess.

Comments

[Александр Варакосов]

Весьма экзотический вектор, но направлен на клиент. Один раз видел в действии. Для защиты написал удаление всех метаданных из картинок.

[Назар Мокринский]

Владислав Турчинский: Какой ещё такой вредоносный JS в файлах картинок О_о?

[Александр Варакосов]

Владислав Турчинский: https://blog.sucuri.net/2014/02/new-iframe-injecti... описание атаки.

[Алексей]

Правильно будет если так сделаю?
habrahabr.ru/post/61842

[Александр Варакосов]

Евгений: Вполне.

Answer 2

[TheLostRoot]

habrahabr.ru/post/44610

Comments

[sbh]

В статье большая часть идет про картинки. А если файл не картинка?

[krypt3r]

sbh, проверка $_FILES['file']['type'] не годится все равно, в статье это сказано — Content-Type можно подделать. Возможно, тут поможет Fileinfo