脆弱性を防ぐために画像アップロード スクリプトを安全に実装するにはどうすればよいですか?

安全な画像アップロード スクリプト

はじめに

悪意のあるアクティビティを防ぐには、画像のアップロードを保護することが重要ですウェブサイトの完全性を確保します。この記事では、さまざまな潜在的な脆弱性に対処する安全なイメージ アップロード スクリプトを実装するための包括的なソリューションを提供します。

主な要件

安全なイメージ アップロード スクリプトの構築には、いくつかの重要な要件が含まれます。

• ファイル タイプの検証: 悪意のあるファイルのアップロードを防止しますタイプ (例: PHP スクリプト)。
• コンテンツ検証: アップロードされた画像が画像要件に準拠していることを確認します (例: GD ライブラリの使用)。
• フォルダーの分離: 直接アクセスできないように、画像を非公開の場所に保存します。
• サーバー側リダイレクト: サーバーから画像を安全に表示および取得します。
• ローカル ファイルの包含防止: アクセスを許可する脆弱性から保護します。攻撃者がアクセスを制限されるfiles.

実装

PHP コード (upload.php):

<br><?php</p><p>if (isset($_POST['submit'])) {</p><div class="code" style="position:relative; padding:0px; margin:0px;"><pre class="brush:php;toolbar:false">// File type whitelist
$allowed_types = ['image/jpeg', 'image/jpg', 'image/png', 'image/gif'];

// Sanitize input
$file_name = $_FILES['image']['name'];
$file_type = $_FILES['image']['type'];
$file_size = $_FILES['image']['size'];

// Validate file type
if (!in_array($file_type, $allowed_types)) {
    echo "Invalid file type. Please upload an image.";
    exit;
}

// Validate file size
if ($file_size > 1000000) {
    echo "File too large. Maximum size allowed is 1MB.";
    exit;
}

// Verify image using GD library
$image_info = getimagesize($_FILES['image']['tmp_name']);

if (!$image_info) {
    echo "Invalid image. Please upload a valid image.";
    exit;
}

// Generate random file name and extension
$new_file_name = str_replace(".", "", microtime()) . "." . pathinfo($file_name, PATHINFO_EXTENSION);

// Isolated upload path outside document root
$upload_directory = 'uploads/';

// Save image to secure directory
if (!move_uploaded_file($_FILES['image']['tmp_name'], $upload_directory . $new_file_name)) {
    echo "Image upload failed. Please try again.";
    exit;
}

echo "Image uploaded successfully.";</p>
<p>}<br>?></p>
<p><form action="upload.php" method="post" enctype="multipart/form-data"></p>
<pre class="brush:php;toolbar:false"><input type="file" name="image">