0

Bom, estava fazendo alguns teste no upload de imagem no meu site e o que me deparei foi o seguinte, ao o usuário botar um link como ".php", ".js", ".html" ele poderá facilmente fazer um iplogger com isto, quero bloquear os links com ".php", etc... só quero permitir .gif, .png e .jpg

Segue o coódigo:

<input type="text" name="img" class="listcc" placeholder="URL DA IMAGEM"/><br/><br/><br/>

$img = trim($_POST["img"]);

if ($img != null) {
  mysql_query("UPDATE usuarios SET img='$img' WHERE id='$id'") or die(mysql_error());
  echo "<script language='javascript' type='text/javascript'>alert('Imagem de perfil atualizada com sucesso');</script>";

}

3 Respostas 3

2

Você poderá utilizar regex para verificar a URL.

if ( preg_match("/\.(?:gif|png|jpe?g)(?:\?.*)?$/", $img) ) {
    die("É uma imagem válida. Pode atualizar no seu banco de dados");
} else {
    die("Ops! Não me parece ser uma imagem.");
}

Explicação do Regex:

\.(?:gif|png|jpe?g)(?:\?.*)?$
└───────┬────────┘ └──┬──┘ └┬┘
        │             │     └─── Captura a última ocorrência
        │             └───────── Remove tudo que há após `?`
        └─────────────────────── Verifique a extensão é `gif`, `png`, `jpeg` ou `jpg`

Mas isso pode não ser suficiente. Se você verificar https://www.gravatar.com/avatar/a95dfb4f780323740a8ce56633a184ed?s=48&d=identicon&r=PG é uma imagem válida (está em .png), mas ela seria ignorada, já que não possui a extensão na URL.

Nesse caso, basta enviar uma requisição e capturar o retorno do content-type, por exemplo:

<?php

$url = 'https://www.gravatar.com/avatar/a95dfb4f780323740a8ce56633a184ed?s=48&d=identicon&r=PG';

ob_start();
/* Instancia o curl */
$ch = curl_init($url);

/* Informa que deseja seguir os redirecionamento */
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);

/* Desabilita a verificação do SSL */
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);

/* Executaa requisição */
curl_exec($ch);

/* Captura o Content-Type retornado */
$i = curl_getinfo($ch, CURLINFO_CONTENT_TYPE);

/* Fecha a coenxão */
curl_close($ch);
ob_end_clean();


/* Define os mimetypes permitidos */
$mimeAllowed = [
    'image/png',
    'image/jpeg',
    'image/gif',
];

/* Verifica se o mimetype retornado, consta na variável acima. */
if (in_array($i, $mimeAllowed)) {
    mysql_query("UPDATE usuarios SET img='$url' WHERE id='$id'") or die(mysql_error());
} else {
    die("Error");
}
0
1

faz uma validação com regex no front-end e/ou no back-end, impossibilitando enviar arquivos com extensão diferente da desejada

No PHP:

preg_match("[a-zA-Z0-9-_\.]+\.(jpg|gif|png)", "exemplo/minha_imagem.png")
//Retorna TRUE se for válido ou FALSE se for inválido

No JS:

"exemplo/minha_imagem.png".match("[a-zA-Z0-9-_\.]+\.(jpg|gif|png)")
//Retorna TRUE se for válido ou FALSE se for inválido

No HTML:

pattern="[a-zA-Z0-9-_\.]+\.(jpg|gif|png)"

Recomendo o uso tanto no back-end como no front-end, no front-end é melhor para o usuário já que não vai sair da página, também tornando mais rápida, porém no front-end a validação é facilmente burlada, por isso colocar no back-end também.

regex = regular expression, em pt-br expressões regulares

2
  • Não poderia dar exemplo do codigo? pois não faço ideia do que seja este "Regexp"
    – Masked_
    Commented 2/03/2018 às 21:56
  • Editei a resposta
    – Costamilam
    Commented 2/03/2018 às 22:04
1

É importante verificar o mimetype do arquivo, pois existe um tipo de ataque em que vc envia um arquivo php com extensão jpg e consegue executa-lo no servidor. Por isso NÃO BASTA verificar a string do nome do arquivo conforme as outras respostas que colocaram aqui.

Para isto utilize a classe finfo.

<?php

$finfo = new finfo(FILEINFO_MIME_TYPE);
if ( array_search(
    $finfo->file($_FILES['teste']['tmp_name']),
    array(
        'jpg' => 'image/jpeg',
        'png' => 'image/png',
        'gif' => 'image/gif',
    ), true) == true) {
    mysql_query("UPDATE usuarios SET img='$img' WHERE id='$id'") or die(mysql_error());
    echo "<script language='javascript' type='text/javascript'>alert('Imagem de perfil atualizada com sucesso');</script>";

}

No HTML é preciso modificar seu input type para file. Exemplo:

<form enctype="multipart/form-data" method="POST" action="file.php">
<input type="file" name="teste">
<input type="submit">
</form>

Fonte do trecho do código: http://php.net/manual/en/features.file-upload.php

0

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .