php - 在服务器上压缩/解压缩可能包含任何内容的未知上传文件是否危险？甚至病毒？

Question

我正在尝试实现一个用户系统(php、apache)，用户可以在其中上传多个文件并下载它们的压缩版本。 (或上传压缩文件并下载未压缩的文件)。

问题:压缩/解压缩那些未知文件是否有风险？换句话说，unix/php zip/unzip 操作是将文件视为纯文本还是可以执行某些操作？

这个问题与所有的压缩方式有关，zip只是一个例子。

编辑: @Alex Brown 和@Parallelis 写了 2 个风险，所以显然它不安全。任何人都可以发布关于如何实现未知文件的安全压缩/解压缩的简短说明？

Answer 1

因为我觉得很合理。由于某些问题，您不能这样做，如果这些文件是引导脚本怎么办？ (请参阅 Alex 和 Parallelis 的评论以了解另外 2 个问题)。

解决方案:

1. 如果您要在上传后将 zip 文件存储为 zip 文件，这样做您将面临其他问题，因为 zip 可能包含许多文件，这些文件可能合适也可能不合适。在这种情况下，您可能希望获得文件内容列表以自动包含在您的字段中，以便下载它们的人知道文件内容是否有效。您还可以集成类似 ClamAV 的东西扫描所有上传的文件。

   注意:谷歌也在做同样的事情，他们使用他们的反病毒扫描程序(这些程序当然不供公众使用)。

2. 您也可以先将文件放在一个临时目录中，然后在该位置对其使用 zip_open。他们将能够使用操作系统级别的命令(这有其自身的风险)来验证文件的完整性，而无需实际解压缩文件。也可以引用这个tool同样的事情。