Qual a melhor maneira de evitar um ataque por imagem? O atacante junta um código malicioso na imagem e faz update no servidor e executa o código como se fosse uma imagem, como evitar esse tipo de ataque?
2 Respostas
Veja: https://www.verot.net/php_class_upload.htm
Essa classe é especializada em manusear uploads em PHP, com isso você poderá utilizar a função image_convert, allowed e forbidden antes de processar o upload:
$foo->image_convert = format;
$foo->allowed = array('application/pdf','application/msword', 'image/*');
$foo->forbidden = array('application/*');
com isso você garante que o upload será uma imagem.
Cara é um assunto delicado onde na verdade nunca teremos certeza até descobrir que fomos afetados com uma nova técnica, porem sempre é bom prevenir ou pelo menos tentar.
Quando iniciei a estudar, a pouco tempo sobre imagens maliciosas, primeiro busquei saber como seria, como funciona, ainda não fiz uma busca da forma que gostaria mas irei compartilhar o que encontrei...
Veja como funciona uma imagem maliciosa em JavaScript AQUI
No meu pensa com PHP não seria muito diferente.
Buscando no Google achei uma suposta solução rápida mas sem provas de que isso realmente funciona, ainda terei que testar quando sobrar mais tempo...
Suposta solução no DevMedia AQUI
Dai pra frente você monta sua logica ou busca alguns scripts que se adequada a sua solução.
Eu sempre valido as informações inseridas pelo usuário no front-end e back-end, gere notificações/alertas para ações suspeitas, pois hoje estamos vivendo a era do ataques cibernéticos, faz parte da evolução, caso ache alguma solução, por gentileza compartilhe conosco =D.
false
e gerar um erro. Porém, seja mais adequado usar outras técnicas também além dessa.