Comment puis-je implémenter en toute sécurité un script de téléchargement d'image pour éviter les vulnérabilités ?

Script de téléchargement d'images sécurisé

Introduction

La sécurisation des téléchargements d'images est cruciale pour prévenir les activités malveillantes et assurez l’intégrité de votre site Web. Cet article fournit une solution complète pour mettre en œuvre un script de téléchargement d'image sécurisé qui corrige diverses vulnérabilités potentielles.

Exigences principales

La création d'un script de téléchargement d'image sécurisé implique plusieurs exigences clés :

• Validation du type de fichier : Empêcher le téléchargement de types de fichiers malveillants (par exemple, PHP scripts).
• Vérification du contenu : Assurez-vous que les images téléchargées sont conformes aux exigences relatives aux images (par exemple, en utilisant la bibliothèque GD).
• Isolement des dossiers : Stockez les images dans un endroit non public pour empêcher l'accès direct.
• Côté serveur Redirection : Affichez et récupérez des images en toute sécurité depuis le serveur.
• Prévention de l'inclusion de fichiers locaux : Protégez-vous contre les vulnérabilités qui permettent aux attaquants d'accéder aux fichiers restreints.

Implémentation

Code PHP (upload.php):

<br><?php</p><p>if (isset($_POST['submit'])) {</p><div class="code" style="position:relative; padding:0px; margin:0px;"><pre class="brush:php;toolbar:false">// File type whitelist
$allowed_types = ['image/jpeg', 'image/jpg', 'image/png', 'image/gif'];

// Sanitize input
$file_name = $_FILES['image']['name'];
$file_type = $_FILES['image']['type'];
$file_size = $_FILES['image']['size'];

// Validate file type
if (!in_array($file_type, $allowed_types)) {
    echo "Invalid file type. Please upload an image.";
    exit;
}

// Validate file size
if ($file_size > 1000000) {
    echo "File too large. Maximum size allowed is 1MB.";
    exit;
}

// Verify image using GD library
$image_info = getimagesize($_FILES['image']['tmp_name']);

if (!$image_info) {
    echo "Invalid image. Please upload a valid image.";
    exit;
}

// Generate random file name and extension
$new_file_name = str_replace(".", "", microtime()) . "." . pathinfo($file_name, PATHINFO_EXTENSION);

// Isolated upload path outside document root
$upload_directory = 'uploads/';

// Save image to secure directory
if (!move_uploaded_file($_FILES['image']['tmp_name'], $upload_directory . $new_file_name)) {
    echo "Image upload failed. Please try again.";
    exit;
}

echo "Image uploaded successfully.";</p>
<p>}<br>?></p>
<p><formulaire action="upload.php" method="post" enctype="multipart/form-data"></p>
<pre class="brush:php;toolbar:false"><input type="file" name="image">