PHP 파일 업로드 처리 로직 검토(종합 분석)

이 글에서는 PHP 파일 업로드의 로직 구현 분석에 대해 소개하겠습니다. 이런 구현은 프로젝트에서 비교적 흔한 것 같아요~ 도움이 필요한 친구들에게 도움이 되길 바랍니다~

파일 이름 처리

파일 이름은 비즈니스 요구 사항에 따라 다릅니다. 원래 이름을 유지할 필요가 없다면 이름을 무작위로 생성하고 화이트리스트에서 확인된 접미사를 추가하면 됩니다. [추천 학습: PHP 동영상 튜토리얼]

반대로 취급 시 주의 사항:

//允许上传的后缀白名单
$extension_white_list = ['jpg', 'pdf'];
//原始文件的名字
$origin_file_name = 'xx/xxx/10月CPI同比上涨2.1%.php.pdf';
//提取文件后缀，并校验是否在白名单内
$extension = strtolower(pathinfo($origin_file_name, PATHINFO_EXTENSION));
if (!in_array($extension, $extension_white_list)) {
    die('错误的文件类型');
}
//提取文件名
$new_file_name = pathinfo($origin_file_name, PATHINFO_BASENAME);
//截取掉后缀部分
$new_file_name = mb_substr($new_file_name, 0, mb_strlen($new_file_name) - 1 - mb_strlen($extension));
//只保留有限长度的名字
$new_file_name = mb_substr($new_file_name, 0, 20);
//替换掉所有的 . 避免攻击者构造多后缀的文件，缺点是文件名不能包含 .
$new_file_name = str_replace('.', '_', $new_file_name);
//把处理过的名字和后缀拼接起来构造成一个名字
$new_file_name = $new_file_name . '.' . $extension;
print_r($new_file_name); //10月CPI同比上涨2_1%_php.pdf

파일 내용 처리

파일 접미사는 ​​피상적일 뿐입니다. php 파일의 경우 접미사를 jpg로 변경합니다. PHP 코드를 전달한다는 사실은 바뀌지 않습니다.

이미지 파일의 경우 이미지 파일 헤더를 읽어 이미지 유형을 확인할 수 있습니다. 물론 이 방법은 테스트하지 않았습니다. 관심이 있으시면 직접 테스트해 보세요.

또한 위의 방법이 가능하더라도 우회할 수 있습니다. 특정 이미지 유형의 헤더 특성 바이트를 PHP 파일의 헤더에 작성하면 위장할 수 있습니다.

이미지 파일 콘텐츠 처리의 경우 실제 비결은 이미지를 다시 그리는 것입니다.

Windows 시스템에서 복사 명령을 사용하여 PHP 코드가 포함된 이미지 파일을 만듭니다. 명령은 다음과 같습니다.

Copy 1.jpg/b + test.php/a 2.jpg

위 명령은 test.php를 1.jpg의 끝에 병합하고 2로 다시 내보내는 것을 의미합니다. .jpg, 이렇게 하면 이 2.jpg는 PHP 코드가 포함된 이미지 파일입니다. 메모장으로 열고 스크롤 막대를 아래쪽으로 드래그하면 PHP 코드를 볼 수 있습니다.

이런 더러운 그림의 경우 그림을 다시 그려서 더러운 부분을 제거할 수 있습니다. 다음은 이미지를 다시 그리는 PHP 코드입니다.

try {
    $jpg = '包含php代码的.jpg';
    list($width, $height) = getimagesize($jpg);
    $im = imagecreatetruecolor($width, $height);
    $image = imagecreatefromjpeg($jpg);
    imagecopyresampled($im, $image, 0, 0, 0, 0, $width, $height, $width, $height);
    $target = '重绘后干净的图片.jpg';
    imagejpeg($image, $target);
} finally {
    isset($im) && is_resource($im) && imagedestroy($im);
    isset($image) && is_resource($image) && imagedestroy($image);
}

이 방법의 단점은 메모리를 소모하고, 이미지가 왜곡되며, 이미지 처리만 가능하다는 점입니다.

물론, 다시 그리기 방법을 사용하여 다른 파일 형식을 처리할 수 있는지는 모르겠습니다.

파일 권한 처리

Linux에서의 권한만 논의하세요. Linux에서의 권한에 대해 간단히 소개하겠습니다.

读取，字母 r 或数字 4 表示
写入，字母 w 或数字 2 表示
执行，字母 x 或数字 1 表示

파일의 경우 rwx는 다음과 같은 의미를 갖습니다.

r：可打开读取此文件
w：可写入此文件
x：可执行此文件

디렉토리의 경우 rwx의 의미는 약간 다릅니다. ：

r：可读取此目录的内容列表
w：可在此目录里面进行：增、删、改文件和子目录
x：可进入此目录

또한 Linux에서 파일의 경우 사용자는 파일을 만든 사용자, 파일을 만든 사용자와 동일한 사용자 그룹에 속한 사용자, 그리고 세 가지 유형으로 구분됩니다. 생성자도 아니고 그룹의 다른 사용자도 아닙니다.

리눅스 권한을 이해하면 업로드된 파일이 있는 디렉터리에 대해 755 권한을 설정해야 합니다. 즉,

• 디렉토리를 생성한 사용자는 이 디렉터리를 읽고, 쓰고, 들어갈 수 있는 권한을 가집니다

• 디렉토리를 생성한 사용자와 동일한 사용자 그룹에 속한 사용자는 이 디렉토리를 읽고 들어갈 수 있는 권한을 가집니다.

• 생성자도, 같은 그룹이 아닌 다른 사용자도 이 디렉토리를 읽고 들어갈 수 있는 권한을 가집니다

권한을 755로 설정하면 nginx가 정적 파일을 프록시할 때 403 오류를 보고하는 것을 방지할 수 있습니다.

코드 예:

mkdir($save_path, 0755, true);

업로드된 파일에 대해 더 엄격한 권한 설정을 채택합니다. 644 권한이 설정되어야 합니다. 즉,

• 파일을 만든 사용자는 이 파일을 읽고 쓸 수 있는 권한이 있으며

• 실행할 수 없습니다.

  파일을 생성한 사용자와 동일한 사용자 그룹의 사용자는 읽기 권한만 갖습니다.

• 작성자도 아니고 동일한 그룹도 아닌 다른 사용자는 읽기 권한만 가집니다.

644 불법파일을 업로드한 경우 해당 내용을 수정하거나 실행할 수 없습니다.

코드 예:

chmod($file, 0644);

파일 서버 처리

돈으로 OSS 스토리지 서비스를 구매하세요. 생각도 하지 말고 그냥 던져 보세요.

원본 주소: https://learnku.com/articles/73100
저자 블로그: https://learnku.com/blog/buexplain

위 내용은 PHP 파일 업로드 처리 로직 검토(종합 분석)의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!