PHP文件上传功能实现逻辑分析

作者:忧郁的鸟蛋 时间:2023-05-25 02:28:30 

文件名字处理

文件名字得看业务要求。不需要保留原始名字,则随机生成名字,拼接上白名单校验过的后缀即可。

反之要谨慎处理:

//允许上传的后缀白名单
$extension_white_list = ['jpg', 'pdf'];
//原始文件的名字
$origin_file_name = 'xx/xxx/10月CPI同比上涨2.1%.php.pdf';
//提取文件后缀,并校验是否在白名单内
$extension = strtolower(pathinfo($origin_file_name, PATHINFO_EXTENSION));
if (!in_array($extension, $extension_white_list)) {
   die('错误的文件类型');
}
//提取文件名
$new_file_name = pathinfo($origin_file_name, PATHINFO_BASENAME);
//截取掉后缀部分
$new_file_name = mb_substr($new_file_name, 0, mb_strlen($new_file_name) - 1 - mb_strlen($extension));
//只保留有限长度的名字
$new_file_name = mb_substr($new_file_name, 0, 20);
//替换掉所有的 . 避免攻击者构造多后缀的文件,缺点是文件名不能包含 .
$new_file_name = str_replace('.', '_', $new_file_name);
//把处理过的名字和后缀拼接起来构造成一个名字
$new_file_name = $new_file_name . '.' . $extension;
print_r($new_file_name); //10月CPI同比上涨2_1%_php.pdf

文件内容处理

文件后缀只是表面,一个 php 文件,把后缀改成 jpg,也改变不了它携带 php 代码的事实。

针对图片文件,可以读取图片文件头判断图片类型,当然我也没测试过这个方法,感兴趣的可以自测。

另外即便上述方法可行,依然可以绕过,只要在 php 文件的头部写入某个图片类型的头部特征的字节即可伪装。

针对图片文件内容处理,真正的大招是重绘图片。

windows 系统下用 copy 命令可以制作一个包含 php 代码的图片文件,命令如下:

Copy 1.jpg/b + test.php/a 2.jpg

上述命令的意思是,把 test.php 合并到 1.jpg 的尾部,并重新导出到 2.jpg 里面,如此一来,这个 2.jpg 就是一个包含 php 代码的图片文件,可以用记事本打开它,拖滚动条到底部看到 php 代码。

像这种不干净的图片,用重绘图片的方式可以剔除掉不干净的部分。下面是重绘图片的 php 代码:

try {
   $jpg = '包含php代码的.jpg';
   list($width, $height) = getimagesize($jpg);
   $im = imagecreatetruecolor($width, $height);
   $image = imagecreatefromjpeg($jpg);
   imagecopyresampled($im, $image, 0, 0, 0, 0, $width, $height, $width, $height);
   $target = '重绘后干净的图片.jpg';
   imagejpeg($image, $target);
} finally {
   isset($im) && is_resource($im) && imagedestroy($im);
   isset($image) && is_resource($image) && imagedestroy($image);
}

这个处理办法的缺点是,耗费内存,图片失真,而且只能处理图片。

当然其它的文件格式,我也不知道能不能用重绘的思路去处理。

文件权限处理

只讨论 Linux 下的权限,先简单介绍 Linux 的权限:

读取,字母 r 或数字 4 表示
写入,字母 w 或数字 2 表示
执行,字母 x 或数字 1 表示

对文件来讲,rwx 是如下含义:

r:可打开读取此文件
w:可写入此文件
x:可执行此文件

对目录来讲,rwx 的含义又有点差别:

r:可读取此目录的内容列表
w:可在此目录里面进行:增、删、改文件和子目录
x:可进入此目录

另外 Linux 里面,针对一个文件,用户是会被分成三种,分别是:创建该文件的用户、和创建该文件的用户处于同一用户组的用户、既不是创建者也不是同一个小组的其它用户。

有了对 Linux 的权限了解,针对上传的文件所在的目录,应该设定 755 权限,表示:

  • 创建该目录的用户有读取、写入、进入此目录的权限

  • 和创建该目录的用户处于同一用户组的用户有读取、进入此目录的权限

  • 既不是创建者也不是同一个小组的其它用户有读取、进入此目录的权限

755 的权限设定,可以让 nginx 代理静态文件的时候不会报 403 错误。

代码示例:

mkdir($save_path, 0755, true);

针对上传的文件,采用更严格的权限设定,应该设定 644 权限,表示:

创建该文件的用户有读取、写入此文件的权限,无法执行

和创建该文件的用户处于同一用户组的用户只有读取权限

既不是创建者也不是同一个小组的其它用户只有读取权限

644 的权限设定,可以确保即便是上传了一个非法文件也无法串改内容、执行。

代码示例:

chmod($file, 0644);

来源:https://blog.csdn.net/lwf3115841/article/details/128078393

标签:PHP,文件上传
0
投稿

猜你喜欢

  • 教你为SQL Server数据库构造安全门

    2009-01-20 11:34:00
  • XML与HTML的结合(下)

    2008-09-05 17:20:00
  • SQL Server小知识:Processor Affinity

    2008-11-24 20:50:00
  • jQuery技巧

    2009-09-27 12:28:00
  • SNS用户体验和互动性浅析

    2011-01-17 17:56:00
  • 解析:快速的掌握 MySQL支持的操作系统

    2008-12-31 17:18:00
  • JavaScript性能优化小技巧,创建文档碎片

    2010-03-31 18:27:00
  • 自然描述与自然任务

    2010-01-26 15:51:00
  • 动态导航设计

    2008-09-21 13:40:00
  • 如何利用SQL Server来发送电子发邮件?

    2010-01-01 15:37:00
  • 用SQL Server事件探查器创建跟踪

    2009-02-24 17:45:00
  • jQuery 1.3的VS智能提示下载

    2009-01-18 12:54:00
  • CSS元素类型

    2009-04-27 12:25:00
  • 整理各种js按比例缩放图片方法

    2007-09-27 20:01:00
  • asp随机数 随机产生N位由数字和字母组成的密码

    2011-03-10 10:47:00
  • 2009淘宝网动画节日LOGO第一季

    2009-05-18 19:11:00
  • 文字链接,怎么办?

    2008-08-04 13:18:00
  • Javascript的匿名函数

    2008-05-07 13:33:00
  • [原创][分享]数字格式化转换

    2011-07-04 12:20:15
  • 妙用Dreamweaver MX共享Word XP文件

    2010-09-05 21:17:00
  • asp之家 网络编程 m.aspxhome.com