草庐IT

php - 有什么方法可以阻止人们上传带有注入(inject)的 GIF 动图？

coder 2023-06-14 原文

我有一个 PHP 网站，人们可以在其中填写帮助单。它允许他们上传他们的票证的截图。我允许上传 gif、psd、bmp、jpg、png、tif。收到上传后，PHP 脚本会忽略文件扩展名。它仅使用 MIME 信息来标识文件类型，对于这些文件类型，MIME 信息始终存储在文件的前 12 个字节中。

有人上传了几个 GIF，当用浏览器查看时，浏览器说它无效，我的病毒扫描程序提醒我这是注入(inject)(或类似的东西)。请参阅下面的包含这些 GIF 的 zip 文件。

我认为只检查 header 信息是不够的。我听说图像可以完全有效，但也包含漏洞利用代码。

所以我有两个基本问题:

  1. 有谁知道他们是如何将不良内容注入(inject) GIF 的(同时仍保持有效的 GIF MIME 类型)？如果我知道这一点，也许我可以在上传时进行检查。
  2. 如何防止有人上传这样的文件？
    • 我在共享主机上，所以我无法安装服务器端病毒 扫描仪。
    • 将信息提交到在线病毒扫描网站 可能太慢了。
    • 有没有什么方法可以使用检查这些东西的 PHP 类来检查我自己？
    • 如果无效，使用 GD 调整图像大小会失败吗？还是漏洞仍然会通过并出现在调整大小的图像中？如果它失败了，那将是理想的，因为那时我可以使用调整大小作为一种技术来查看它们是否有效。

更新:大家，感谢您到目前为止的回复。我正在尝试在服务器上查找已上传的 GIF。如果找到它们，我会更新这篇文章。

更新 2: 我为感兴趣的人找到了 GIF。我把它们放在一个用密码“123”加密的 zip 文件中。它位于此处(注意此托管站点上有多个“下载”按钮——其中一些用于广告)http://www.filedropper.com/badgifs .名为 5060.gif 的那个被我的防病毒软件标记为木马 (TR/Graftor.Q.2)。我应该注意，这些文件是在我执行前 12 个字节的 MIME 检查之前上传的。所以现在，我对这些特定的人是安全的。但我仍然想知道如何检测隐藏在正确 MIME 类型背后的漏洞。

重要说明: 我只担心下载这些文件以查看它们的 PC 的风险。这些文件对我的服务器没有风险。他们不会被处决。它们使用扩展名为“.enc”的干净名称(十六进制哈希输出)存储，我使用 fwrite 过滤器将它们以加密状态保存到磁盘:

// Generate random key to encrypt this file.
$AsciiKey = '';
for($i = 0; $i < 20; $i++)
    $AsciiKey .= chr(mt_rand(1, 255));

// The proper key size for the encryption mode we're using is 256-bits (32-bytes).
// That's what "mcrypt_get_key_size(MCRYPT_RIJNDAEL_128, MCRYPT_MODE_CBC)" says.
// So we'll hash our key using SHA-256 and pass TRUE to the 2nd parameter, so we
// get raw binary output.  That will be the perfect length for the key.
$BinKey = hash('SHA256', '~~'.TIME_NOW.'~~'.$AsciiKey.'~~', true);

// Create Initialization Vector with block size of 128 bits (AES compliant) and CBC mode
$InitVec = mcrypt_create_iv(mcrypt_get_iv_size(MCRYPT_RIJNDAEL_128, MCRYPT_MODE_CBC), MCRYPT_RAND);
$Args = array('iv' => $InitVec, 'key' => $BinKey, 'mode' => 'cbc');

// Save encoded file in uploads_tmp directory.
$hDest = fopen(UPLOADS_DIR_TMP.'/'.$Hash.'.enc', 'w');
stream_filter_append($hDest, 'mcrypt.rijndael-128', STREAM_FILTER_WRITE, $Args);
fwrite($hDest, $Data);
fclose($hDest);

最佳答案

至于第一个问题，您永远不会真正知道您是否无法检索任何有问题的日志或图像，因为这些漏洞利用可能针对很多事情并依赖于将漏洞放入文件的方式可能完全不同。

编辑: W32/Graftor 是 generic name适用于看似具有木马特征的程序。

在十六进制编辑器中打开文件 5060.gif 后，我注意到程序实际上是一个 renamed windows program .虽然它不是浏览器漏洞，因此除非它被实际打开并执行，否则它是无害的，但你必须确保它不是由上传者定义的 MIME 类型提供的，因为用户仍然可能被欺骗打开程序；看第二个问题的答案。

至于第二个问题:为了防止任何漏洞利用代码被运行或阻止用户运行，您必须确保所有文件都以安全的扩展名存储在文件名中，以便提供服务使用正确的 MIME 类型。例如，您可以使用这个正则表达式来检查文件名:

if(!preg_match ( '/\\.(gif|p(sd|ng)|tiff?|jpg)$/' , $fileName)){
    header("415 Unsupported Media Type");
    die("File type not allowed.");
}

还要确保您使用正确的内容类型提供文件；确保在向用户提供文件时不使用上载文件指定的内容类型。如果您依赖上传者指定的 Content-Type，则该文件可能会以 text/html 或类似的形式提供，并将由用户的浏览器进行解析。

请注意，这只防止恶意文件利用用户浏览器中的漏洞，图像解析器除外。

如果您试图防止对服务器的攻击，您必须确保您不会让 PHP 解析器执行图像的内容，并且您用于处理图像的图像库不会有任何已知的漏洞。

另请注意，此代码不会保护您免受包含用户浏览器使用的图像解析器漏洞的图像的攻击；为了防止这种情况，您可以检查 getimagesize() 是否按照 Jeroen 的建议评估为 true。

请注意，如果您不检查文件名并确保使用正确的 Content-Type header 提供文件，则单独使用 getimagesize() 是不够的，因为完全有效的图像可以在注释中嵌入 HTML/PHP 代码。

关于php - 有什么方法可以阻止人们上传带有注入(inject)的 GIF 动图？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/10865202/

人们injectstrong39codephpsecurityimage-processinggdcode-injection

有关php - 有什么方法可以阻止人们上传带有注入(inject)的 GIF 动图？的更多相关文章

  1. ruby - 如何使用 Nokogiri 的 xpath 和 at_xpath 方法 - 2

    我正在学习如何使用Nokogiri，根据这段代码我遇到了一些问题:require'rubygems'require'mechanize'post_agent=WWW::Mechanize.newpost_page=post_agent.get('http://www.vbulletin.org/forum/showthread.php?t=230708')puts"\nabsolutepathwithtbodygivesnil"putspost_page.parser.xpath('/html/body/div/div/div/div/div/table/tbody/tr/td/div

  2. ruby - 如何从 ruby​​ 中的字符串运行任意对象方法？ - 2

    总的来说，我对ruby​​还比较陌生，我正在为我正在创建的对象编写一些rspec测试用例。许多测试用例都非常基础，我只是想确保正确填充和返回值。我想知道是否有办法使用循环结构来执行此操作。不必为我要测试的每个方法都设置一个assertEquals。例如:describeitem,"TestingtheItem"doit"willhaveanullvaluetostart"doitem=Item.new#HereIcoulddotheitem.name.shouldbe_nil#thenIcoulddoitem.category.shouldbe_nilendend但我想要一些方法来使用

  3. ruby - 为什么我可以在 Ruby 中使用 Object#send 访问私有(private)/ protected 方法？ - 2

    类classAprivatedeffooputs:fooendpublicdefbarputs:barendprivatedefzimputs:zimendprotecteddefdibputs:dibendendA的实例a=A.new测试a.foorescueputs:faila.barrescueputs:faila.zimrescueputs:faila.dibrescueputs:faila.gazrescueputs:fail测试输出failbarfailfailfail.发送测试[:foo,:bar,:zim,:dib,:gaz].each{|m|a.send(m)resc

  4. ruby - Facter::Util::Uptime:Module 的未定义方法 get_uptime (NoMethodError) - 2

    我正在尝试设置一个puppet节点，但ruby​​gems似乎不正常。如果我通过它自己的二进制文件(/usr/lib/ruby/gems/1.8/gems/facter-1.5.8/bin/facter)在cli上运行facter，它工作正常，但如果我通过由ruby​​gems(/usr/bin/facter)安装的二进制文件，它抛出:/usr/lib/ruby/1.8/facter/uptime.rb:11:undefinedmethod`get_uptime'forFacter::Util::Uptime:Module(NoMethodError)from/usr/lib/ruby

  5. ruby-on-rails - Rails - 子类化模型的设计模式是什么？ - 2

    我有一个模型:classItem项目有一个属性“商店”基于存储的值，我希望Item对象对特定方法具有不同的行为。Rails中是否有针对此的通用设计模式？如果方法中没有大的if-else语句，这是如何干净利落地完成的？ 最佳答案 通常通过Single-TableInheritance. 关于ruby-on-rails-Rails-子类化模型的设计模式是什么？，我们在StackOverflow上找到一个类似的问题： https://stackoverflow.co

  6. Ruby 方法() 方法 - 2

    我想了解Ruby方法methods()是如何工作的。我尝试使用“ruby方法”在Google上搜索，但这不是我需要的。我也看过ruby​​-doc.org，但我没有找到这种方法。你能详细解释一下它是如何工作的或者给我一个链接吗？更新我用methods()方法做了实验，得到了这样的结果:'labrat'代码classFirstdeffirst_instance_mymethodenddefself.first_class_mymethodendendclassSecond使用类#returnsavailablemethodslistforclassandancestorsputsSeco

  7. ruby - 什么是填充的 Base64 编码字符串以及如何在 ruby​​ 中生成它们？ - 2

    我正在使用的第三方API的文档状态:"[O]urAPIonlyacceptspaddedBase64encodedstrings."什么是“填充的Base64编码字符串”以及如何在Ruby中生成它们。下面的代码是我第一次尝试创建转换为Base64的JSON格式数据。xa=Base64.encode64(a.to_json) 最佳答案 他们说的padding其实就是Base64本身的一部分。它是末尾的“=”和“==”。Base64将3个字节的数据包编码为4个编码字符。所以如果你的输入数据有长度n和n%3=1=>"=="末尾用于填充n%

  8. ruby - 解析 RDFa、微数据等的最佳方式是什么，使用统一的模式/词汇(例如 schema.org)存储和显示信息 - 2

    我主要使用Ruby来执行此操作，但到目前为止我的攻击计划如下:使用gemsrdf、rdf-rdfa和rdf-microdata或mida来解析给定任何URI的数据。我认为最好映射到像schema.org这样的统一模式，例如使用这个yaml文件，它试图描述数据词汇表和opengraph到schema.org之间的转换:#SchemaXtoschema.orgconversion#data-vocabularyDV:name:namestreet-address:streetAddressregion:addressRegionlocality:addressLocalityphoto:i

  9. ruby - 使用 Vim Rails，您可以创建一个新的迁移文件并一次性打开它吗？ - 2

    使用带有Rails插件的vim，您可以创建一个迁移文件，然后一次性打开该文件吗？textmate也可以这样吗？ 最佳答案 你可以使用rails.vim然后做类似的事情::Rgeneratemigratonadd_foo_to_bar插件将打开迁移生成的文件，这正是您想要的。我不能代表textmate。 关于ruby-使用VimRails，您可以创建一个新的迁移文件并一次性打开它吗？，我们在StackOverflow上找到一个类似的问题： https://sta

  10. ruby - 为什么 4.1%2 使用 Ruby 返回 0.0999999999999996？但是 4.2%2==0.2 - 2

    为什么4.1%2返回0.0999999999999996？但是4.2%2==0.2。 最佳答案 参见此处:WhatEveryProgrammerShouldKnowAboutFloating-PointArithmetic实数是无限的。计算机使用的位数有限(今天是32位、64位)。因此计算机进行的浮点运算不能代表所有的实数。0.1是这些数字之一。请注意，这不是与Ruby相关的问题，而是与所有编程语言相关的问题，因为它来自计算机表示实数的方式。 关于ruby-为什么4.1%2使用Ruby返

随机推荐