MIME Type spoofing

Question

Sprawdzanie typu mime w php jest dość łatwe, ale o ile wiem, mim może zostać sfałszowany. Osoba atakująca może przesłać skrypt php, na przykład jpeg typu mime. Jedna rzecz, która przychodzi do głowy, to sprawdzenie rozszerzenia pliku przesłanego pliku i upewnienie się, że pasuje do typu MIME. Wszystko to zakłada, że ​​katalog do przesyłania jest dostępny w przeglądarce.

Pytanie: Czy istnieją inne techniki zapobiegania "złym plikom" przed wprowadzaniem podszywania się pod mime?

Answer 1

Krótka odpowiedź: Nie

Dłuższa odpowiedź:

Porównując rozszerzenie i upewniając się, że pasuje do typu MIME nie naprawdę zapobiec niczego. Jak powiedziano w komentarzach, nawet łatwiej jest zmodyfikować rozszerzenie pliku. Typ MIME i rozszerzenie mają jedynie charakter wskazówek, nie ma w nich nieodłącznego zabezpieczenia.

Zapewnienie, że przychodzące pliki nie wyrządzają szkody, zależy w dużym stopniu od tego, jaki będzie ich cel. W twoim przypadku zrozumiałem, że spodziewasz się obrazów. Możesz więc najpierw wykonać kilka testów poprawności: zeskanuj pierwsze kilka bajtów, aby sprawdzić, czy pliki zawierają odpowiednie sygnatury nagłówka obrazu - wszystkie odpowiednie formaty mają je.

"Nagłówki sygnatur" pomagają zdecydować, jaki format obrazu próbuje się podrobić plik. W następnym kroku możesz sprawdzić, czy reszta zawartości jest zgodna z podstawowym formatem obrazu. Gwarantuje to, że plik jest w rzeczywistości plikiem graficznym o tym konkretnym formacie.

Ale nawet wtedy plik mógłby być starannie spreparowany w taki sposób, że po wyświetleniu obrazu, popularna biblioteka używana do wyświetlania tego obrazu (np. Libpng itp.) Natrafiłaby na przepełnienie bufora, które atakujący znalazł w tym biblioteka.

Niestety nie ma sposobu, aby aktywnie temu zapobiec, nie dopuszczając w ogóle żadnych danych ze strony klienta.

Answer 2

Sprawdź rozszerzenie.

<?php 

$okFiles = array('jpg', 'png', 'gif'); 

$pathInfo = pathinfo($filename); 

if(in_array($pathInfo['extension'], $okFiles)) { 
    //Upload 
} 
else { 
    //Error 
} 

?> 

Możesz również - jak powiedziałeś - sprawdzić, czy rozszerzenie pasuje do typu MIME, ale o wiele łatwiej jest po prostu sprawdzić rozszerzenie.

Btw dlaczego obchodzi Cię typ MIME?

Answer 3

W przypadku obrazów

• sprawdzić rozszerzenie z listy dozwolonych te (np. ".jpg", ".jpeg", ".png")
• Sprawdź sam plik przesłany przez Uruchomienie pliku getimagesize spowoduje zwrócenie FALSE, jeśli nie jest obrazem.

Inne typy przesyłania

• Sprawdź dozwolonych rozszerzeń (np. ".pdf")
• Sprawdź, czy typ MIME pliku odpowiada rozszerzeniu

Sample kod:

function getRealMimeType($filename) { 
    $finfo = new finfo(FILEINFO_MIME, "/usr/share/misc/magic"); 
    if (!$finfo) { 
     echo "Opening fileinfo database failed"; 
     return ""; 
    } 
    return $finfo->file($filename); 
} 

Zobacz finfo_file dokumentacji.