- 01
- 02
- 03
- 04
- 05
- 06
- 07
- 08
- 09
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
public function is_image($mime) {
//Функция проверяет по mime типу является ли поступивший файл изображением
$images_mime = array('image/jpeg','image/pjpeg','image/png','image/cgm','image/fits','image/g3fax',
'image/gif','image/ief','image/jp2','image/jpm','image/jpx','image/naplps',
'image/prs.btif','image/prs.pti','image/t38','image/tiff','image/tiff-fx',
'image/vnd.adobe.photoshop','image/vnd.cns.inf2','image/vnd.djvu','image/vnd.dwg',
'image/vnd.dxf','image/vnd.fastbidsheet','image/vnd.fpx','image/vnd.fst',
'image/vnd.fujixerox.edmics-mmr','image/vnd.fujixerox.edmics-rlc','image/vnd.globalgraphics.pgb',
'image/vnd.microsoft.icon','image/vnd.mix','image/vnd.ms-modi','image/vnd.net-fpx',
'image/vnd.sealed.png','image/vnd.sealedmedia.softseal.gif','image/vnd.sealedmedia.softseal.jpg',
'image/vnd.svf','image/vnd.wap.wbmp','image/vnd.xiff');
if(!in_array($mime,$images_mime)) {
//Не было найдено совпадений mime типа - это не картинка
return false;
}
else {
//Было найдено совпадение mime типа
return true;
}
}
Follow us!
Потом через GD напишу уменьшение размера.
Функция кстати нормально работает и закрыла критическую уязвимость в проекте.
Т.е., если я буду отправлять файл сам и подставлю mime как у картинки, то я смогу загрузить любой файл.
P.S в проекте загрузка картинок только в админском разделе происходит.
Так что думаю это не так уязвимо будет, но все же интересно как бороться с этим?
Все потом.
ЗЫ проверка Mime это скорее не преграда от хакера, а просто ограничение. Мало ли человек нечаянно начнет bmp загружать или tiff (если это не входит в проект).
Если понаглеть, то :
/* 1 */ $images_mime = array('jpeg','pjpeg'....); // меньше пхать в память
/* 2 */ return (!in_array('image/'.$mime,$images_mime))
$images_mime верни как было, просто
return (!in_array($mime,$images_mime))
PS - почитай про ф-цию exif_imagetype()
^_^
А то я что-то жирно написал, на производительность влиляло бы плохо.
Я так например делаю.