Skip to main content

Linha do tempo de Verificar é imagem Curl

Licença atual: CC BY-SA 3.0

9 eventos
quando alternar formato o que por licença comentário
21/08/2017 às 18:38 comentário adicionado Syzoth O Content-Type pode ser facilmente manipulado, não por maldade, mas por algum erro, por exemplo a imagem é gerada dinamicamente, mas o script falhou e ainda sim foi enviado o mime-type de imagem.
21/08/2017 às 18:37 comentário adicionado Marcelo de Andrade @GuilhermeNascimento, o Content-type é feito justamente pra isso: descrever o tipo do conteúdo. Há possibilidade de ser adulterada? Sim. Mas se a fonte de onde ele está fazendo a requisição não é confiável, então necessitará de uma série de tratamentos de segurança para a aplicação dele.
21/08/2017 às 18:32 comentário adicionado Syzoth curl_getinfo($ch, CURLINFO_CONTENT_TYPE); não verifica o conteudo, verifica apenas o header content-type.
21/08/2017 às 18:29 comentário adicionado Marcelo de Andrade Tem sim, @JeffersonQuesado. Possivelmente esse método trabalha parecido com o exif_imagetype. Até mencionei essa função na resposta para a pergunta Qual é a forma mais segura para se identificar que o arquivo de upload é uma imagem?
21/08/2017 às 18:15 comentário adicionado Jefferson Quesado Eu precisei detectar o tipo de um MIME-type em Android (solução para essa questão no Android aqui). Lá ele tem um tal de ContentResolver.getType, que talvez descubra o MIME-type pela leitura dos números mágicos, o que tornaria seguro contra essa falsificação. Não tem nada que faça isso no PHP não?
21/08/2017 às 18:06 comentário adicionado Marcelo de Andrade Sim, ainda há essa possibilidade. Mas se não for uma fonte confiável, ele terá de efetuar outros tratamentos.
21/08/2017 às 18:04 comentário adicionado Inkeliz Lembrando que isso pode ser falsificado pelo "cliente" (pelo alvo do curl), é possível ter um corpo com um conteúdo qualquer, que não é imagem, e com o cabeçalho de Content-Type: image/png.
21/08/2017 às 17:57 histórico editada UzumakiArtanis CC BY-SA 3.0
adicionou 1 caractere ao conteúdo
21/08/2017 às 17:55 histórico respondeu Marcelo de Andrade CC BY-SA 3.0