MIME Tipo spoofing

Question

Controllare il tipo di mimo in php è piuttosto semplice, ma per quanto ne so può essere falsificato. L'utente malintenzionato può caricare uno script php con, ad esempio, il tipo mime jpeg. Una cosa che viene in mente è controllare l'estensione del file caricato e assicurarsi che corrisponda al tipo mime. Tutto ciò presuppone che la directory di caricamento sia accessibile dal browser.

Domanda: Esistono altre tecniche per impedire ai "file danneggiati" di entrare con lo spoofing di tipo mime?

Answer 1

Risposta breve: No.

Longer risposta:

Confrontando l'estensione e fare in modo che corrisponda al tipo MIME in realtà non impedisce nulla. Come è stato detto nei commenti, è ancora più semplice modificare un'estensione di file. Tipo e estensione MIME devono essere intesi solo come suggerimenti, non c'è alcuna sicurezza intrinseca in essi.

Garantire che i file in entrata non facciano danni dipende molto da quale sarà il tuo scopo per loro. Nel tuo caso ho capito che ti aspetti delle immagini. Quindi, ciò che si potrebbe fare è eseguire prima alcuni controlli di integrità: analizza i primi due byte per vedere se i file contengono le firme di intestazione dell'immagine pertinenti - tutti i formati di immagine rilevanti hanno questi.

Le "intestazioni di firma" consentono di decidere il tipo di formato di immagine che un file tenta di impersonare. In una fase successiva è possibile verificare se il resto dei contenuti è conforme al formato dell'immagine sottostante. Questo ti garantirebbe che il file è veramente un file immagine di quel formato specifico.

Ma anche in questo caso, il file potrebbe essere elaborato con cura in modo tale che quando si visualizza l'immagine, una libreria popolare utilizzata per visualizzare quell'immagine (ad es. Libpng ecc.) Verrebbe eseguita in un buffer overflow che l'utente malintenzionato ha trovato in quel biblioteca.

Sfortunatamente non c'è modo di impedirlo attivamente, oltre a non consentire alcun input dal lato client.

Answer 2

Controllare l'estensione.

<?php 

$okFiles = array('jpg', 'png', 'gif'); 

$pathInfo = pathinfo($filename); 

if(in_array($pathInfo['extension'], $okFiles)) { 
    //Upload 
} 
else { 
    //Error 
} 

?> 

È anche possibile - come hai detto tu - verificare se l'estensione corrisponde al tipo MIME, ma è molto più facile da controllare solo l'estensione.

A proposito, perché ti interessa il tipo MIME?

Answer 3

In caso di immagini

• Controllare l'estensione con una lista di quelli consentiti (es. ".jpg", ".jpeg", ".png")
• Controllare il file caricato in sé da eseguendo getimagesize sul file, verrà restituito FALSE se non è un'immagine.

Altri tipi di caricati

• Controllare le estensioni consentite (es. ".pdf")
• Verificare che il tipo MIME del file corrisponde all'estensione

Campione codice:

function getRealMimeType($filename) { 
    $finfo = new finfo(FILEINFO_MIME, "/usr/share/misc/magic"); 
    if (!$finfo) { 
     echo "Opening fileinfo database failed"; 
     return ""; 
    } 
    return $finfo->file($filename); 
} 

Vedere finfo_file documentazione.