Просто считайте изображение одной из библиотек работы с изображениями, а затем - отрисуйте программно. Пример для изображения в формате JPEG с использованием GD:
$img = imagecreatefromjpeg('upload/avatar.jpg'); //Считываем изображение из загруженного
//файла
imagejpeg($img); //Рисуем считанное изображение
imagejpeg($img, 'profile/avatar.jpg'); //Сохраняем считанное изображение в файл
imagedestroy($img); //Освобождаем переменную
При этом, все спрятанные в изображении сторонние файлы будут утеряны, и останется только удалить изображение-исходник из upload/
.
Также следует помнить про правильно настроенные права:
chmod('profile/avatar.jpg', 0600); //НЕ исполняемый файл, запись и чтение только для владельца
В совокупности с запуском сервера от имени отдельного системного пользователя: Даже если в изображении был исполняемый файл, он не сможет быть запущен, так как это прямо запрещено правами файла. Кроме того, сторонние программы не смогут изменить изображение после загрузки, так как права на это есть только у пользователя, от имени которого был создан файл.
Не стоит выводить через imagejpeg
уже прошедшие обработку изображения из profile/
, - этим вы генерируете избыточную нагрузку на сервер, дальше можно обходиться обычным HTML. В крайнем случае, - сохраните дату последнего изменения файла, после установки прав, и проверяйте, не изменилась ли она.