如何阻止Web服务器中的可执行文件上传

Question

这个问题是从 Server Fault 迁移过来的，因为它可以在 Stack Overflow 上回答。 昨天迁移。

我正在开发一个网络应用程序项目，以阻止文件上传中的所有文件可执行文件。 示例：用户可以上传 txt、png、图像和视频文件，但不能上传任何可执行脚本，例如 Perl、Python、exe、PHP、.so、.sh 文件。

如果它是一个 PHP 文件，那么我 strstr 为 "<?php" 标签，如果这个标签存在，那么它是 PHP 文件。 我们如何才能为其他脚本/可执行文件找到相同的内容？

编辑：有时黑客会使用 .png 或 .jpg extn 上传恶意文件，那么检查文件内部的模式是什么？

Answer 1

您无需自己进行检查，而是使用现有库并阻止所有未注册为所需格式的内容。

大多数此类库通过在文件中的特定位置查找某些签名或魔术字节序列来猜测文件的内容类型和编码。 其他库可能更专业，例如仅识别图像或视频格式。

• https://www.php.net/manual/en/intro.fileinfo.php
• https://github.com/ahupp/python-magic
• https://docs.python.org/3/library/imghdr.html

file程序是用于识别文件类型的命令行工具。

在您识别并仅接受所需文件格式的第一遍之后，您应该让所有未被拒绝的文件通过防病毒扫描程序。

根据您的用例，您可能决定删除原始文件扩展名和/甚至是在上传期间提供的完整文件名，并分配检测到的 mime 类型，而不是依赖用户提供的属性。