Recentemente, uno dei miei siti Web è stato violato da qualcuno che ha caricato un'immagine (shell.gif) sul mio server.
Ho messo la validazione lato server per controllare l'estensione del file + il tipo mime dell'immagine. Tuttavia, sono ancora in grado di caricare lo script della shell usando di nuovo l'estensione gif.
C'è un modo migliore per convalidare il file immagine a livello di codice se hanno una firma di script di shell accanto a due metodi che ho menzionato sopra?
L'errore non è come si convalida il file. Non dovresti mai eseguire alcun file che è stato caricato. Punto. Se un file caricato dovrebbe essere un'immagine, la cosa solo che dovresti fare è presentarla a un programma di elaborazione delle immagini da aprire.
In un certo senso, l'intero paradigma desktop di indovinare il programma corretto per aprire un file osservandone il nome e / o il contenuto è una pessima idea, e assolutamente non deve essere usato dai server, con dati non fidati.
Leggi altre domande sui tag file-upload shellcode