如果上传的图片名称包含.php.jpg

Question

为了安全起见，我以上传文件（图像）的名称preg_replace了.php.jpg ， .php.png ， .js.jpg ， .js.png之类的东西 ，并想知道是否有任何扩展名还考虑在上传完成后将文件移动到相应文件夹之前进行替换吗？

Answer 1

仅查看文件名确实不是防止恶意代码/可执行文件上载的安全方法。

根据您接受上传的文件类型，有更好的安全播放方法。

通常，永远不要将任何文件上传到可从Web公开访问的任何位置，直到您100％知道它们不是可疑的东西。

如果您允许上传图片，请在使用前使用GD或ImageMagick之类的服务器端技术重新保存该文件。 如果这些工具无法从已上传的内容中加载有效的图像（捕获错误，以便您知道...），则可以丢弃或隔离该文件，直到您手动调查为止。

无论如何，即使扩展名被换出/替换，也不要以上传时的原始文件名存储该文件。

在网站上搜索上传安全性，以获取一些更详细的提示-这个问题确实会定期出现。

Answer 2

根据您需要对文件执行的操作，可以对文件进行加密或仅对文件运行gzip。 在那里，您可以节省服务器上的空间，如果有人上载脚本文件，则无法通过http请求运行它们。 我要做的是检查是否有来自文件的公共访问和/或设置htaccess文件。

Answer 3

简短的回答，是的，如果要使用黑名单方法，您还应该考虑阻止其他许多可执行扩展，例如“ phtml”，“ java”，“ perl”，“ py”，“ asp”，“ go” ”，您应该考虑exe和bat以及其他可能传播恶意软件的软件。

但是，如果您要完全阻止移动它们（或者甚至在进入更复杂的部分之前甚至可以作为一种形式验证进行上载），则仅使用黑名单，而不是如果您要上载并更改其名称，移动。 无论您不希望将什么未知的Java或Go或Python等安装在服务器上，无论它叫什么，即使您不在Apache上（也可以将可执行扩展名放在最后一段之外的位置）上，都可以。 为什么允许该上传继续进行？ 不允许3个以上级别的名称可能更简单（并且您会看到人们的建议），但是对于三个级别的名称，例如用于语言识别，有很多合法的用法。 但是，仅这种方法不会使您免受可执行代码的伤害。 为了使文件上传尽可能安全（例如，您还希望检查图像文件中的嵌入式代码），这需要作为一大堆事情的一部分。