Come posso fornire un'immagine con Perl con un po 'di sicurezza e meno risorse?

Question

Ho trovato alcuni post correlati qui ma, niente di giusto in .. Ho bisogno di servire un'immagine (humm) "correttamente" e usare il minor numero possibile di risorse. Stavo lavorando su un sotto (sotto) ma, non è troppo adatto alle risorse solo per il fatto che utilizzo CGI. Questa è solo la mia ipotesi però. Sono un principiante di Perl ma, mi piace meglio di PHP.

La query sarebbe generato da "somescript.pl?img=image.png"

#!/usr/bin/perl -Tw 
use strict; 
use warnings; 
use CGI; 

#I should drop warnings after all is said and done. Also name my vars generically. Right? 
#I dont know if this query method will work or is even the best method. 
$query = new CGI; 
my @img = $query->param; 
if ($_ eq "img") { my $file = $query->param($_); } 
if ($_ ne "img") { ## I will send to an error sub that serves up a error image 
} 

# Prob a one liner to take care of the above. Not within my ability though. 
# Still figuring all this out here.. Very verbose sorry... 
# I will strip everything but lowercase alpha and the "." 
# with s =~ /[something like A-Z] I will look it up //g; 
# Still.. prob all above will fit in a one liner by a PERL guru! 

# Below is related to -Taint, I was told this is important to use the -T. 
$ENV{PATH} = "bin:/usr/bin"; 
delete($ENV{qw(IFS CDPATH BASH_ENV ENV)}); 

# now I will grab the images extension. 
my $ext = ($file =~ m/[^.]+$/)[0]; 

#I was informed to use the "three" but, I am unsure what that means. 
# My attempt based on my reading many posts here. 

my $length = (stat($file))[10]; 
my $image = do { 
    local $/ = undef; 
    print "Content-type: image/$ext\n"; 
    print "Content-length: $length \n\n"; 
    binmode STDOUT; 
    open(FH, "<", $file) || die "Could not find $file: $!"; 
    my $buffer = ""; 
    while (read(FH, $buffer, 10240)) { 
     print $buffer; 
    } 
    close(FH); 
}; 

Come si può vedere, il mio tentativo qui è ovviamente un principiante.

Ho trovato un ottimo consiglio qui in overflow dello stack. Ringrazio tutti passato e presente.

Answer 1

Avere uno sguardo al modo in cui si è fatto in Apachegallery

http://metacpan.org/pod/Apache::Gallery

che sta utilizzando Imlib2 ed è abbastanza efficiente, incluse le funzioni avanzate come il ridimensionamento e la rotazione al volo e con una cache disco condiviso.

Answer 2

penso che ti manca qualcosa qui:

my @img = $query->param; 
if ($_ eq "img") { my $file = $query->param($_); } 
if ($_ ne "img") { ## error } 

$_ è inizializzato. Credo che volevi dire:

my @img = $query->param; 
foreach (@img) { 
    if ($_ eq "img") { my $file = $query->param($_); } 
    if ($_ ne "img") { ## error } 
} 

o per una migliore leggibilità e la manutenibilità

my @img = $query->param; 
foreach my $param (@img) { 
    if ($param eq "img") { my $file = $query->param($param); } 
    if ($param ne "img") { ## error } 
} 

---

Per un'altra cosa, probabilmente si desidera utilizzare

(stat($file))[7]; 

e non

(stat($file))[10]; 

per ottenere la lunghezza di un file. (stat $file)[10] ti darà il tempo di cambio del file.

Answer 3

1. Se avete intenzione di utilizzare l'estensione come un sostituto per MIME-tipo, allora è meglio nominare tutte le immagini JPEG .jpeg e non .jpg! File::MMagic o File::MimeInfo creerebbero soluzioni migliori per uso generale.
2. (stat $file)[10] non è la lunghezza del contenuto, è il ctime, che non ha valore per voi. (stat $file)[7] funziona, ma il -s $file funziona altrettanto bene ed è ovvio per qualsiasi programmatore Perl che cosa fa senza consultare il manuale stat. (2a: utilizzare -s sul filehandle dopo averlo aperto anziché il nome file per evitare corse contro la sostituzione dei file)
3. Posso accedere a qualsiasi file sul filesystem leggibile dall'utente che il CGI esegue come, ad es. image.pl?image=../../../../../../../etc/passwd. Suggerirei di menzionare specificamente la directory delle immagini in modo da non dipendere dallo getcwd e dall'uso di File::Spec->no_upwards e File::Spec->catfile per creare un nome di percorso che può essere solo all'interno della directory delle immagini.
4. Non è una buona forma per una CGI a die se è evitabile. Se il file non viene trovato, restituire uno stato 404. Se la richiesta è illegale, restituire uno stato 400 o 403, ecc
5. vostri URL sarebbe più bello se si è utilizzato path_info per consentire image.pl/foo.png invece di image.pl?img=foo.png.
6. A meno che non aggiungiate un po 'di logica, le immagini che servite non verranno memorizzate nella cache dal client.
7. Man, questi sono accatastati. Hai pensato di trovare un codice che è già stato scritto per lo scopo invece di scriverne uno tuo?

Answer 4

Il modo più semplice per servire un'immagine consiste nell'utilizzare la gestione dei file che è probabilmente già inclusa nel server web.

È inoltre possibile aggiungere l'autenticazione utilizzando un file .htaccess (se si utilizza Apache).

Answer 5

Vorrei solo cambiare alcune cose.

In primo luogo, sostituire il blocco di codice dopo il primo blocco commento a questo:

my $query = new CGI; 
my $file = $query->params('img'); 

Il codice per ottenere l'estensione del file non funziona per me. Si tratta di:

my ($ext) = $file =~ m/\.([^\.]+)$/; 

Non capisco l'uso di "my $ image = do {...". Semplicemente non sembra necessario.

Dal momento che si sta utilizzando già il modulo CGI, usarlo per fare le intestazioni per voi:

print $query->header(
    -type => 'image/' . $ext, 
    -Content_length => $length, 
    ); 

Il modo in cui si sta leggendo il file e scrivere di nuovo fuori sembra funzionalmente perfetta.

Ho diversi commenti aggiuntivi & suggerimenti. Innanzitutto, il tuo codice è estremamente insicuro. È bello che tu stia pensando alla modalità contaminazione, ma non stai facendo nulla riguardo al nome file passato dal tuo client. Cosa succede se hanno passato "/ etc/passwd", per esempio? Un altro è che si potrebbe anche aprire il file immagine (dopo aver effettuato ulteriori controlli di sicurezza) prima dello inviando le intestazioni HTTP. Ciò consentirebbe di inviare un errore ragionevole al client (404?), Piuttosto che morire. Usa il metodo "header" della CGI per renderlo facile. Puoi comunque scrivere qualcosa su STDERR, se lo desideri.

Questo è tutto quello che posso pensare solo ora. Spero che questo sia sufficiente per farti andare.

Answer 6

Non sono sicuro di cosa si sta provando a fare, ma sembra che sarebbe molto più semplice gestirlo senza Perl e CGI. Quale server stai usando? Preferirei risolvere il problema con una regola di riscrittura in Apache.

Non sono mai stato un fan degli script di gatekeeper, però. Forse se puoi dire perché stai cercando di farlo, possiamo trovare una buona soluzione (e non solo una migliore :).