2

Qual a melhor maneira de evitar um ataque por imagem? O atacante junta um código malicioso na imagem e faz update no servidor e executa o código como se fosse uma imagem, como evitar esse tipo de ataque?

4
  • Com a função getimagesize que determina o tamanho de uma imagem. No caso de ser uma imagem inválida ou um arquivo que se disfarce de uma imagem, esta função vai retornar false e gerar um erro. Porém, seja mais adequado usar outras técnicas também além dessa.
    – gato
    Commented 25/02/2018 às 17:13
  • Vc pode limitar o tipo de extensão de arquivo que pode ser enviada (Limit File Type). w3schools.com/php/php_file_upload.asp
    – hugocsl
    Commented 25/02/2018 às 17:17
  • Bom galera meu script já uso as duas formas e mesmo assim o arquivo camuflado passa despercebido, eu criei um script php e renomeei como .jpg e faço update e o script faz update normalmente.
    – Vegaz
    Commented 25/02/2018 às 17:38
  • faz o update porém não executa pois será um JPG inválido.
    – user60252
    Commented 25/02/2018 às 19:06

2 Respostas 2

0

Veja: https://www.verot.net/php_class_upload.htm

Essa classe é especializada em manusear uploads em PHP, com isso você poderá utilizar a função image_convert, allowed e forbidden antes de processar o upload:

    $foo->image_convert = format;
    $foo->allowed = array('application/pdf','application/msword', 'image/*');
    $foo->forbidden = array('application/*');

com isso você garante que o upload será uma imagem.

0

Cara é um assunto delicado onde na verdade nunca teremos certeza até descobrir que fomos afetados com uma nova técnica, porem sempre é bom prevenir ou pelo menos tentar.

Quando iniciei a estudar, a pouco tempo sobre imagens maliciosas, primeiro busquei saber como seria, como funciona, ainda não fiz uma busca da forma que gostaria mas irei compartilhar o que encontrei...

Veja como funciona uma imagem maliciosa em JavaScript AQUI

No meu pensa com PHP não seria muito diferente.

Buscando no Google achei uma suposta solução rápida mas sem provas de que isso realmente funciona, ainda terei que testar quando sobrar mais tempo...

Suposta solução no DevMedia AQUI

Dai pra frente você monta sua logica ou busca alguns scripts que se adequada a sua solução.

Eu sempre valido as informações inseridas pelo usuário no front-end e back-end, gere notificações/alertas para ações suspeitas, pois hoje estamos vivendo a era do ataques cibernéticos, faz parte da evolução, caso ache alguma solução, por gentileza compartilhe conosco =D.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .