Безопасность загрузки изображений

Question

У меня есть php-скрипт, который загружает изображения в каталог на сервере. Но я видел некоторые комментарии, в которых упоминалось, что изображения не должны загружаться в корневой каталог для обеспечения безопасности. Я не уверен в уязвимостях безопасности, которые могут возникнуть, если я загружу в каталог, который я сейчас загружаю. Вот путь, по которому будут сохраняться изображения. HTDOCS/изображения/filenames.jpg.

Просьба сообщить мне, где хранить изображения в надежном образе.

Answer 1

Было много тем, посвященных безопасности загрузки изображений, но, во-первых, это разрешение каталога 644. Затем вам нужно позаботиться о названии, как указано в комментариях, метка времени - это довольно хороший способ, однако она должна сочетаться с некоторыми случайно генерируемыми значениями (или использовать временную метку, включая миллисекунды), однако, если вам нужно предоставить изображения значащее имя, вы должны дезинфицировать имя, предоставленное пользователем, отфильтровать нулевые байты, обход каталога и другие опасные символы (я бы выделил белый список и ограничил длину имени изображения или произвольно сгенерировал строку).

Вместо того, чтобы помещать изображение за пределы веб-корня, я предпочитаю использовать .htaccess с опцией php_flag engine off в нем, чтобы отключить любое выполнение php в каталоге. Кроме того, размещение изображений вне корневого веб-узла делает их недоступными, поэтому вы не сможете использовать их в теге <img>, если только вы не используете PHP-скрипт для обслуживания изображения (это довольно безопасный метод, если он выполняется правильно).

Наконец, вы хотите проверить, загружено ли действительное изображение, обычно используется библиотека GD, в частности, getimagesize, которая вернет размер изображения только в том случае, если загружено допустимое изображение.

Также проверьте это topic на безопасность загрузки изображений.