0

Tenho um script simples de upload de arquivos pelo PHP.

Este upload sobe os arquivos, que deverão ser imagens, para uma pasta.

Só posso aceitar imagens jpg, png egif`.

Só que já percebi que existem imagens que fizeram upload com exploits, pois não é uma imagem válida.

Estou tentando fazer validações mais seguras dos arquivos para upload. Se não passar na validação, ele deve retornar um erro.

Tentei usar o [type] image/jpg, image/gif, image/png mas mesmo assim conseguiram fazer o upload

Também tentei usar o

getimagesize($_FILES["imagem"]["tmp_name"])

mas de alguma forma conseguiram burlar isso também.

Alguém poderia me auxiliar ?

Segue meu código de upload:

$foto_name=$_FILES["foto"]["name"];
$foto=$_FILES["foto"]["tmp_name"];                
if (preg_match("/(.)+(jpg|JPG|jpeg|JPEG|gif|GIF|png|PNG)/",$foto_name)){                    
  $pieces = explode(".", $foto_name);
  $ext=$pieces[1];
  $tempo=date('YMDHMShms');
  $fot="$foto_name"."$tempo";
  $fot2=md5($fot);
  $fot3= $_SESSION['logadu']['slug']."-$fot2".".$ext";
  @move_uploaded_file("$foto" , "img/$fot3") 
  or exit("<script>window.top.erroimg();</script>");
  img("img/$fot3","640","480");      

  echo "<script>window.top.adicionouimg();</script>";
} else {
  echo "<script>alert('Somente imagens .jpg .gif ou .png');</script>";
}
4
  • Posta seu código pra que possamos analisar. Commented 20/01/2017 às 14:46
  • Seu código tá verificando a extensão. Onde está o trecho que verifica o mime? Commented 20/01/2017 às 15:09
  • 1
    Lembrando que mesmo com a extensão .txt é possível ter o mime image/png. O mime leva em consideração o conteúdo, e não a extensão. Porque posso ter um jpg vazio, e ele teria o mime inválido. Commented 20/01/2017 às 15:10
  • o meu mine eu tirei pois nao sabia se estava funcionando como conseguiram burlar deixei o cod original Commented 20/01/2017 às 15:15

1 Resposta 1

1

Primeiro acredito que você deveria criar uma classe para gerenciar o Upload de qualquer arquivo no sistema, depois você cria uma função dentro da classe para cuidar de imagens. Dentro da minha classe o que permite inserir somente PNG e JPG é isso aqui(adaptei ao seu código):

$Upload = false;
switch ($_FILES["foto"]["type"]) {

    case "image/jpg";
    case "image/jpeg";
    case "image/pjpeg";
        $Upload = true;
        break;
    case "image/png";
    case "image/x-png";
        $Upload = true;
        break;
};

if ($Upload) {
    $pieces = explode(".", $foto_name);
    $ext = $pieces[1];
    $tempo = date('YMDHMShms');
    $fot = "$foto_name" . "$tempo";
    $fot2 = md5($fot);
    $fot3 = $_SESSION['logadu']['slug'] . "-$fot2" . ".$ext";
    @move_uploaded_file("$foto", "img/$fot3")
            or exit("<script>window.top.erroimg();</script>");
    img("img/$fot3", "640", "480");

    echo "<script>window.top.adicionouimg();</script>";
} else {
    echo "<script>alert('Somente imagens .jpg .gif ou .png');</script>";
}

Caso queira adicionar outros types dá uma olhada aqui https://secure.php.net/manual/pt_BR/function.image-type-to-mime-type.php. Eu prefiro usar switch porque vejo melhor quais types eu to permitindo, facilitando a manutenção, mas você pode usar um array no lugar, depois validar com in_array();

1
  • valeu ja implementei vamos ver c param d subir exploits no site Commented 21/01/2017 às 14:08

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .