MIME Type spoofing

Question

La vérification du type mime en php est assez facile mais pour autant que je sache, le mime peut être usurpé. L'attaquant peut télécharger un script PHP avec par exemple un type jpeg mime. Une chose qui vient à l'esprit est de vérifier l'extension de fichier du fichier téléchargé et assurez-vous qu'il correspond au type mime. Tout cela suppose que le répertoire de téléchargement est accessible par navigateur.

Question: Existe-t-il d'autres techniques pour empêcher les "mauvais fichiers" d'entrer dans l'usurpation de type mime?

Answer 1

Réponse courte: Non

Deuxième réponse:

En comparant l'extension et en vous assurant qu'elle correspond au type MIME n'empêche pas vraiment quoi que ce soit. Comme il a été dit dans les commentaires, il est encore plus facile de modifier une extension de fichier. Le type MIME et l'extension ne sont que des indices, il n'y a pas de sécurité intrinsèque. Garantir que les fichiers entrants ne nuisent pas dépend beaucoup de ce que votre but pour eux va être. Dans votre cas, j'ai compris que vous attendez des images. Donc, ce que vous pourriez faire est d'effectuer quelques vérifications de santé mentale d'abord: balayer les premiers deux premiers octets pour voir si les fichiers contiennent les signatures d'en-tête d'image pertinentes - tous les formats d'image pertinents ont ceux-ci. Les "en-têtes de signature" vous aident à décider quel type de format d'image un fichier essaie d'usurper l'identité. Dans une prochaine étape, vous pouvez vérifier si le reste du contenu est compatible avec le format d'image sous-jacent. Cela vous garantit que le fichier est vraiment un fichier image de ce format spécifique. Mais même dans ce cas, le fichier pourrait être soigneusement créé de telle sorte que lorsque vous affichez l'image, une bibliothèque populaire utilisée pour afficher cette image (par exemple libpng etc.) se heurte à un débordement de buffer que l'attaquant a trouvé dans cette image. bibliothèque.Malheureusement, il n'y a aucun moyen de l'empêcher activement en plus de ne permettre aucune entrée du côté du client.

Answer 2

Vérifiez l'extension.

<?php 

$okFiles = array('jpg', 'png', 'gif'); 

$pathInfo = pathinfo($filename); 

if(in_array($pathInfo['extension'], $okFiles)) { 
    //Upload 
} 
else { 
    //Error 
} 

?> 

Vous pouvez aussi - comme vous avez dit - vérifier si l'extension correspond au type MIME, mais il est beaucoup plus facile de vérifier que l'extension.

Pourquoi ce type de MIME vous intéresse?

Answer 3

En cas d'Images

• Vérifiez l'extension avec une liste de celles autorisées (ex. ".jpg", ".jpeg", ".png")
• Vérifiez le fichier téléchargé par lui-même en cours d'exécution getimagesize, il retournera FALSE si ce n'est pas une image.

Autres types de téléchargement

• Vérifiez les extensions autorisés (ex. ".pdf")
• Vérifiez que le type MIME du fichier correspond à l'extension

échantillon code:

function getRealMimeType($filename) { 
    $finfo = new finfo(FILEINFO_MIME, "/usr/share/misc/magic"); 
    if (!$finfo) { 
     echo "Opening fileinfo database failed"; 
     return ""; 
    } 
    return $finfo->file($filename); 
} 

Voir finfo_file documentation.