php - 能够绕过图像验证

Question

我已经将一个可执行文件包装在一个包含以下内容的图像中 -

GIF89a<?php
echo 'hacked';
?>

并将其保存为文件名image.gif。

现在，当我上传这张图片时，它可以绕过图片 和维度 验证。

'photo' => 'required|image|dimensions:min_width=20,min_height=20',

有没有办法验证这种图像？

我试过的解决方法-

使用了 PHP 函数 getimagesize() 但它返回了

array:6 [▼
  0 => 16188
  1 => 26736
  2 => 1
  3 => "width="16188" height="26736""
  "channels" => 3
  "mime" => "image/gif"
]

虽然图像无效，但它仍然具有有效的宽度和高度。

Answer 1

作为this article通知，GIF 文件有一个标题字段，然后是尺寸。您所做的具有在维度部分有效的字节，因此将被解析为维度。这对于验证 GIF imposer 是不完整的。您需要对 GIF 字节进行更深入的分析，以确保它不包含有害负载。