एमआईएम प्रकार स्पूफिंग

Question

php में माइम प्रकार की जांच करना बहुत आसान है, लेकिन जहां तक ​​मुझे पता है कि माइम को धोखा दिया जा सकता है। हमलावर उदाहरण के लिए जेपीजी माइम प्रकार के साथ एक php स्क्रिप्ट अपलोड कर सकते हैं। एक बात जो दिमाग में आती है वह अपलोड की गई फ़ाइल के फ़ाइल एक्सटेंशन को जांचना और सुनिश्चित करना है कि यह माइम प्रकार से मेल खाता है। यह सब मानते हैं कि अपलोड निर्देशिका ब्राउज़र पहुंच योग्य है।

प्रश्न: क्या "बुरी फाइलें" को माइम प्रकार स्पूफिंग के साथ आने से रोकने के लिए कोई और तकनीक है?

Answer 1

लघु जवाब: नहीं

लंबे समय तक जवाब:

विस्तार की तुलना करना और सुनिश्चित करें कि यह MIME प्रकार वास्तव में कुछ नहीं रोकता है से मेल खाता बना रही है। जैसा कि टिप्पणियों में कहा गया था, फ़ाइल एक्सटेंशन को संशोधित करना भी आसान है। एमआईएम प्रकार और एक्सटेंशन केवल संकेत के रूप में होना चाहिए, उनमें कोई अंतर्निहित सुरक्षा नहीं है।

यह सुनिश्चित करना कि आने वाली फ़ाइलों को कोई नुकसान नहीं होता है, उनके लिए आपका उद्देश्य क्या होगा। आपके मामले में मुझे समझ में आया कि आप छवियों की उम्मीद कर रहे हैं। तो आप क्या कर सकते हैं कुछ सैनिटी चेक पहले करें: यह देखने के लिए बाइट्स के पहले जोड़े को स्कैन करें कि फाइलों में प्रासंगिक छवि शीर्षलेख हस्ताक्षर हैं या नहीं - सभी प्रासंगिक छवि प्रारूपों में ये हैं।

"हस्ताक्षर शीर्षलेख" यह तय करने में आपकी सहायता करता है कि फ़ाइल किस प्रकार की छवि प्रारूप का प्रतिरूपण करने का प्रयास करती है। अगले चरण में आप जांच सकते हैं कि शेष सामग्री अंतर्निहित छवि प्रारूप के अनुरूप हैं या नहीं। यह आपको गारंटी देगा कि फ़ाइल वास्तव में उस विशिष्ट प्रारूप की एक छवि फ़ाइल है।

लेकिन फिर भी, फ़ाइल को सावधानीपूर्वक तैयार किया जा सकता है कि जब आप छवि प्रदर्शित करते हैं, तो उस छवि को प्रदर्शित करने के लिए उपयोग की जाने वाली एक लोकप्रिय लाइब्रेरी (उदाहरण के लिए libpng इत्यादि) एक बफर ओवरफ़्लो में चलेगी जो हमलावर उसमें पाया जाता है पुस्तकालय।

असुविधाजनक रूप से क्लाइंट पक्ष से किसी भी इनपुट की इजाजत देने के अलावा सक्रिय रूप से इसे रोकने का कोई तरीका नहीं है।

Answer 2

एक्सटेंशन की जांच करें।

<?php 

$okFiles = array('jpg', 'png', 'gif'); 

$pathInfo = pathinfo($filename); 

if(in_array($pathInfo['extension'], $okFiles)) { 
    //Upload 
} 
else { 
    //Error 
} 

?> 

आप भी कह सकते हैं - जैसे कि एक्सटेंशन एमआईएमई प्रकार से मेल खाता है, लेकिन एक्सटेंशन को जांचना कहीं अधिक आसान है।

बीटीडब्ल्यू आप एमआईएमई प्रकार के बारे में क्यों परवाह करते हैं?

Answer 3

छवियाँ

• चेक अनुमति लोगों की सूची के साथ विस्तार (उदा। ".jpg", ".jpeg", ".png") के मामले में
• द्वारा अपलोड की गई फ़ाइल में ही चेक फ़ाइल पर getimagesize चला रहा है, अगर यह छवि नहीं है तो यह गलत होगा।

अपलोड के अन्य प्रकार

• चेक अनुमति एक्सटेंशन (उदा। ".pdf")
• चेक उस फ़ाइल की माइम प्रकार विस्तार

नमूना से मेल खाती है कोड:

function getRealMimeType($filename) { 
    $finfo = new finfo(FILEINFO_MIME, "/usr/share/misc/magic"); 
    if (!$finfo) { 
     echo "Opening fileinfo database failed"; 
     return ""; 
    } 
    return $finfo->file($filename); 
} 

देखेंदस्तावेज।