3

Как защитить сервер, на котором находится сайт и форум, с поддержкой загрузки собственных аватар и вставки изображений в комментарии?

Ведь всем известно, что изображение может быть снабжено вирусом, через который можно получить полный доступ на сервер. Как грамотно работать с такими загрузками изображений? Ясно, что антивирус помочь особо ничем не сможет, потому что самые новые вирусы он не разоблачает.

5
  • Вариант - параноидальная утопия: в браузере разобрать попиксельно загружаемую картинку, отправить массив пикселей на сервер, там вновь собрать из них картинку, для пущей безопасности ещё и отскалировать на пару пикселей, чуток сменить контраст и цветовую гамму, сохранить. Commented 6 апр. 2016 в 23:59
  • @VladimirGamalian так никто не делает. Как вы думаете, почему? Commented 7 апр. 2016 в 6:17
  • 1
    @PavelMayorov слово "утопия" нам, как бэ, намекает, что никто так не делает и автор об это знает.
    – Risto
    Commented 7 апр. 2016 в 6:19
  • 1
    Ведь всем известно, что изображение может быть снабжено вирусом, через который можно получить полный доступ на сервер. - ооох
    – etki
    Commented 7 апр. 2016 в 6:37
  • Запуск изображения на выполнение — признак мегакриворукости программиста. Просто не запускайте их, и всё.
    – VladD
    Commented 7 апр. 2016 в 14:51

3 ответа 3

10

Всем известно, что сам по себе вирус - это набор байтов, абсолютно безвредный, пока не запущен на исполнение в соответствующем окружении.

Из окружений на РНР веб-сервере обычно доступны два - CGI и PHP. Для CGI достаточно не загружать изображения в папку, которая предназначена для исполняемых файлов.

Для РНР же защита сводится к тому, чтобы

  1. Не пропускать файлы с расширением php. Это просто, за исключением одного нюанса*
  2. Не инклюдить в свои пхп скрипты что попало. Это правило гораздо важнее и шире, чем просто загрузка изображений. Если оно не соблюдается, то и никаких картинок на сервер заливать не надо. Если же наш код всегда точно значет, какой именно файл он инклюдит, и подсунуть ему со стороны ничего невозможно, то и картинка с пхп кодом тоже будет безопасной.

--
Нюанс. Веб-сервер апач в дефолтной конфигурации исполняет файлы вида script.php.jpg как php файлы.

7
  • 1
    Ну вот. А вы "Кто запустит?". Да тот же сервер и запустит, неверно настроенный. А права файла ему не дадут. Впрочем, ваш ответ от этого хуже не становится.
    – Risto
    Commented 7 апр. 2016 в 5:47
  • @Risto так о том и речь, что надо сервер правильно настраивать. Commented 7 апр. 2016 в 5:58
  • @PavelMayorov если сайт на вашем сервере - конечно. А если вы его на заказ пишете? Код должен предполагать "защиту от дурака", я считаю.
    – Risto
    Commented 7 апр. 2016 в 6:02
  • @Risto если сайт пишется на заказ - то конфиг сервера для сайта надо приложить к сайту. Commented 7 апр. 2016 в 6:03
  • @PavelMayorov от дурости человеческой не спасёт. Есть ещё "хостинги" без доступа к конфигам. Как я уже сказал - ответ хорош, но свой я лишним не считаю.
    – Risto
    Commented 7 апр. 2016 в 6:08
3

Лучшая защита - это правильно настроенный веб-сервер. К примеру, если полностью запретить (в случае Apache) или просто не разрешать (в случае nginx) запуск PHP-скриптов из папки /uploads/ (или как она там у вас называется) - то при загрузке файлов на сервер можно не проверять вообще ничего (ну, разве что на /../ проверить).

Если вы используете PHP-фреймворки с паттерном Front Controller (когда все запросы проходят через index.php) - то надо вообще запретить выполнять любые PHP-скрипты кроме index.php

UPD Запрет исполнения скриптов через htaccess:

SetHandler default-handler

Теперь любые файлы в этой директории будут обрабатываться обработчиком по умолчанию, если я ничего не перепутал.

3
  • И, дальше , ваш сайт упадёт в самый низ списка поисковых систем. Я могу залить 1000 изображений, с вирусами, а ваш сайт будет распростронять их.
    – gilo1212
    Commented 7 апр. 2016 в 13:19
  • @gilo1212 точно так же как можно разместить запрещенный текст в любом месте где можно размещать пользовательские тексты - после чего через суд сайт заблокировать. А то и по первому каналу показать... Commented 7 апр. 2016 в 13:32
  • Не могли бы вы в своём ответе дописать информацию как именно нужно настроить - .htaccess, что бы ограничить диреркторию/файл запуск PHP скриптов? Спасибо.
    – gilo1212
    Commented 7 апр. 2016 в 13:40
0

Просто считайте изображение одной из библиотек работы с изображениями, а затем - отрисуйте программно. Пример для изображения в формате JPEG с использованием GD:

$img = imagecreatefromjpeg('upload/avatar.jpg'); //Считываем изображение из загруженного
                                                //файла
imagejpeg($img); //Рисуем считанное изображение
imagejpeg($img, 'profile/avatar.jpg'); //Сохраняем считанное изображение в файл
imagedestroy($img); //Освобождаем переменную

При этом, все спрятанные в изображении сторонние файлы будут утеряны, и останется только удалить изображение-исходник из upload/.

Также следует помнить про правильно настроенные права:

chmod('profile/avatar.jpg', 0600); //НЕ исполняемый файл, запись и чтение только для владельца

В совокупности с запуском сервера от имени отдельного системного пользователя: Даже если в изображении был исполняемый файл, он не сможет быть запущен, так как это прямо запрещено правами файла. Кроме того, сторонние программы не смогут изменить изображение после загрузки, так как права на это есть только у пользователя, от имени которого был создан файл.

Не стоит выводить через imagejpeg уже прошедшие обработку изображения из profile/, - этим вы генерируете избыточную нагрузку на сервер, дальше можно обходиться обычным HTML. В крайнем случае, - сохраните дату последнего изменения файла, после установки прав, и проверяйте, не изменилась ли она.

10
  • И чем же помогут "правильно настроенные права"? Commented 7 апр. 2016 в 4:36
  • Какой еще "екезешник"? Кто его будет запускать? С какой стати "зловреду" что-то инфицировать, если он уже завелся? Да и с какой стати у него это не получится? Commented 7 апр. 2016 в 4:59
  • Ну и каша. Допустим, запрет мы не поставили. Кто будет исполнять? Commented 7 апр. 2016 в 5:17
  • @Ипатьев а какая разница? Если никто - тем лучше, но я не специалист по безопасности, и не автор всех веб-серверов разом, чтобы знать, какие там могут быть уязвимости. Проще сразу позаботиться о том, чтобы такое было невозможно даже теоретически.
    – Risto
    Commented 7 апр. 2016 в 5:23
  • Как-то не совсем эти путанные рассуждения сходятся с утверждением про "лучшую защиту от взлома". Commented 7 апр. 2016 в 5:24

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.