Tenho um script simples de upload de arquivos pelo PHP.
Este upload sobe os arquivos, que deverão ser imagens, para uma pasta.
Só posso aceitar imagens jpg
, png e
gif`.
Só que já percebi que existem imagens que fizeram upload com exploits, pois não é uma imagem válida.
Estou tentando fazer validações mais seguras dos arquivos para upload. Se não passar na validação, ele deve retornar um erro.
Tentei usar o [type]
image/jpg
, image/gif
, image/png
mas mesmo assim conseguiram fazer o upload
Também tentei usar o
getimagesize($_FILES["imagem"]["tmp_name"])
mas de alguma forma conseguiram burlar isso também.
Alguém poderia me auxiliar ?
Segue meu código de upload:
$foto_name=$_FILES["foto"]["name"];
$foto=$_FILES["foto"]["tmp_name"];
if (preg_match("/(.)+(jpg|JPG|jpeg|JPEG|gif|GIF|png|PNG)/",$foto_name)){
$pieces = explode(".", $foto_name);
$ext=$pieces[1];
$tempo=date('YMDHMShms');
$fot="$foto_name"."$tempo";
$fot2=md5($fot);
$fot3= $_SESSION['logadu']['slug']."-$fot2".".$ext";
@move_uploaded_file("$foto" , "img/$fot3")
or exit("<script>window.top.erroimg();</script>");
img("img/$fot3","640","480");
echo "<script>window.top.adicionouimg();</script>";
} else {
echo "<script>alert('Somente imagens .jpg .gif ou .png');</script>";
}
.txt
é possível ter o mimeimage/png
. O mime leva em consideração o conteúdo, e não a extensão. Porque posso ter umjpg
vazio, e ele teria o mime inválido.