黑客使用图片上传功能将PHP代码带入我的网站

#1 楼

客户端验证
您提供的验证代码在JavaScript中。这表明您是用来在客户端上进行验证的代码。
保护Web应用程序安全的第一法则是永远不要信任客户端。客户端在用户（或本例中的攻击者）的完全控制下。您无法确定发送给客户端的任何代码都可用于任何用途，并且您放置在客户端上的任何块都没有任何安全性值。在客户端上进行验证仅是为了提供顺畅的用户体验，而不是实际上实施任何与安全性相关的约束。
攻击者可能只是在其浏览器中更改了JavaScript片段，或者完全关闭了脚本，或者只是不发送文件，但可以使用curl等工具编写自己的POST请求。
您需要重新验证服务器上的所有内容。这意味着您的PHP必须检查文件的类型是否正确，而您当前的代码则不然。
如何做到这一点是一个广泛的问题，我认为这不在您的问题范围内，但是这个问题是开始阅读的好地方。您可能还想看看.htaccess文件。神奇的PHP函数

当我从编辑框中存储数据时，我使用PHP的所有三个函数来清理它：您在验证文件扩展名的上下文中提到此事实的事实使我担心，您只是在输入中抛出了几个与安全性相关的函数，希望它可以解决问题。例如，您应该使用准备好的语句并且不能逃避SQLi的攻击。从数据库中检索数据后，需要对HTML标记和特殊字符进行转义以防止XSS，并且如何进行转储取决于插入数据的位置。等等，等等。
结论
我并不是说这个意思很刻薄，但是您似乎在这里犯了很多错误。如果还有其他漏洞，我也不会感到惊讶。如果您的应用程序处理了任何敏感信息，我强烈建议您让具有安全经验的人在将其投入生产之前先进行查看。

#2 楼

首先，如果有人利用文件上传功能，请确保您正在客户端和服务器上都验证文件。绕过客户端JavaScript保护是微不足道的。

其次，请确保您遍历并实施了OWASP的这些想法。还请确保您的服务器上没有其他未修补的缺陷（例如，过时的插件，可利用的服务器等）。

#3 楼

这里要特别注意的是，PHP被设计为嵌入其他内容中。具体来说，它被设计为嵌入HTML页面中，并以少量动态更新的数据来补充大部分静态页面。解释程序将扫描任何文件类型，并执行所有已用脚本标签正确标记的PHP内容。如果Web服务器愿意通过PHP解释器过滤那些文件，那么该代码将执行。请参阅Wordpress“ Tim Thumb”插件惨败。

正确的解决方案是确保您的Web服务器永远不要将不受信任的内容视为应通过PHP运行的内容。尝试过滤输入是解决输入问题的一种方法，但是正如您所发现的那样，有限且容易出错。

更好地验证文件位置和文件扩展名都用于定义PHP将处理，并将上传内容和其他不受信任的内容隔离到不会被处理的位置和扩展名中。 （这样做的方式因服务器而异，并且遭受“使事情正常工作通常意味着以您不知道的方式放宽安全性”问题。）

#4 楼

您可以通过.htaccess禁用上载目录中的PHP，这样服务器就不会在该目录及其子目录中执行任何PHP代码。

使用以下规则在您的上载目录中创建一个.htaccess文件：

php_flag engine off

请注意，仅当您的PHP服务器以mod_php模式运行时，.htaccess规则才有效。

编辑：我忘了提及.htaccess仅适用于apache。

#5 楼

您仅在检查扩展名，这不一定与实际文件类型相关。在服务器端，您可以使用exif_imagetype之类的文件来验证文件是否为映像。
exif图像类型的用法：http://php.net/manual/en/function.exif-imagetype.php

#6 楼

我完全同意接受的答案，但我建议您做一些事情，而不仅仅是使用文件名。您应该使用GD或Imagick用PHP重新压缩原始/上传的文件，然后使用新映像。这样，您就可以销毁所有已注入的代码（老实说，90％的时间里，有一些方法可以使代码在压缩中幸存下来，但这是很多工作）。

您还可以使用.htaccess文件来阻止上传目录运行PHP代码（我不了解IIS，并且可能存在等效的.webconfig）。

<FilesMatch \.php$>
    SetHandler application/x-httpd-php
</FilesMatch>

这样，仅当“最终扩展名”为PHP时，才会执行上传的文件，因此不会执行image.php.jpg。

一些资源：


关于文件上传的一篇不错的文章
PHP手动安装Apache

#7 楼

这里解决方案的一个可能部分是保留图像，但也可以使用PHP调整大小后的副本，以便可以确保获取图像并减小原始图像的大小。这有几个积极的效果：


从不让原始图像用于显示，因此更安全
节省服务器空间（可能会或可能不会成问题）
网站访问者的加载时间更长，因为他们不必等待大约10 MB的图像加载。相反，它们以合理的大小加载了300 KB的图像

要点是，您永远无法信任用户数据。验证所有内容，文件上传，输入，cookie，以确保数据不会引起问题。

#8 楼

我要添加的一件事是尚未涉及的：使用白名单策略。

正如其他人已经指出的那样，仅依靠客户端验证当然不是一件好事。您还采用了黑名单策略，这意味着您要检查自己知道/认为不好的事情，并允许其他所有事情。更加健壮的策略是检查您认为可以的事情，并拒绝其他一切。图片。

根据我的经验，这两种策略不一定可以互斥，只要它们用于不同目的即可：用于用户反馈的客户端黑名单验证和服务器端白名单安全性验证。

#9 楼

我允许上传图片，但假设每个人都加载了木马代码。我在上传时将上传的图像临时放在Web根上方，然后使用ImageMagick将其转换为BMP，然后转换为JPG，然后将其移动到Web应用程序可以使用的位置。这有效地删除了任何嵌入式PHP代码。

正如@Sneftel在下面的注释中指出的那样，对JPG执行此转换将导致图像质量下降。就我的目的而言，这是可以接受的折衷方案。

#10 楼

验证图像EXIF标记或使用strpos函数在图像内容中查找PHP代码。
示例：

$imageFile = file_get_contents($your_image_temp_path); // ATTENTION! Temporary path for images is really needed for security reasons!
$dangerousSyntax = ['<?', '<?php', '?>'];
$error = '';
foreach($dangerousSyntax as $value) {
  $find = strpos($value, $imageFile);
  if( $find !== true ) {
    unlink($your_image_temp_path);
    $error = 'We found a dangerous code in your image';
  }
}

if(!empty($error)) { 
  die($error);
}

#11 楼

除了可接受的答案外，我建议使用PHP内置的getImageSize函数获取MIME类型，并确保PHP文件没有隐藏在图像文件扩展名下。