base64编码图像的安全问题


Security concerns with base64 encoded images

我有一个API,它接受base64编码的图像数据,需要解码数据,保存图像文件,然后从该图像创建缩略图。

我担心,如果在尝试创建缩略图之前没有正确验证POST负载的内容,恶意代码可能会被执行。

到目前为止,我的基本工作流程如下。是否有足够的验证使我不需要担心安全性?我想我担心有人编码了不好的东西,然后当下面的一个图像函数被调用时,互联网爆炸了。

<?php
$decodedImage = base64_decode($_POST["canvas"]);
if ($decodedImage === false) {
    // Error out
}
$imageSizeValidation = getimagesizefromstring($decodedImage);
if ($imageSizeValidation[0] < 1 || $imageSizeValidation[1] < 1 || !$imageSizeValidation['mime']) {
    // Error out
}
$tempFilePath = "/tmp/" . microtime(true) . "-canvas-web.jpg";
file_put_contents($tempFilePath, $decodedImage);
$originalWidth = $imageSizeValidation[0];
$originalHeight = $imageSizeValidation[1];
$newWidth = 49;
$newHeight = 49;
$scaleWidth = $newWidth / $originalWidth;
$scaleHeight = $newHeight / $originalHeight;
$scale = min($scaleWidth, $scaleHeight);
$width = (int)($originalWidth * $scale);
$height = (int)($originalHeight * $scale);
$xpos = (int)(($newWidth - $width) / 2);
$ypos = (int)(($newHeight - $height) / 2);
$oldImage = imagecreatefromjpeg($tempFilePath);
$newImage = imagecreatetruecolor($width, $height);
$background = imagecolorallocate($oldImage, 255, 255, 255);
imagefilledrectangle($newImage, 0, 0, $width, $height, $background);
imagecopyresampled($newImage, $oldImage, $xpos, $ypos, 0, 0, $width, $height, $originalWidth, $originalHeight);
imagedestroy($oldImage);
imagejpeg($newImage, "/path/to/new.jpg", 90);
imagedestroy($newImage);

最终没有得到任何答案,所以对于那些对我最终做了什么感兴趣的人来说:

经过进一步研究,我发现我最关心的问题之一是用内联PHP、Ruby等编码的有效图像文件

<?php phpinfo();

我最终获得了解码后的图像数据,并将其提供给imagecreatefromstring(),然后通过imagejpeg()将图像保存到临时目录中。

这似乎从原始图像数据中删除了任何编码的PHP。在这一点上,我使用getimagesize()验证了保存图像的图像大小数据。假设当时一切都是有效的,我将图像移动到一个永久位置。

我改变的另一件事是,我没有使用基于静态字符串和microtime()的文件名,而是使用了哈希。

关于注入代码的图像的问题,我发现这个链接很有帮助:https://www.owasp.org/index.php/Unrestricted_File_Upload

就整体想法而言,我还发现另一篇SO帖子很有用:验证base64编码图像

最后,以下这本书首先引起了我对带代码图像的关注:http://www.apress.com/9781430233183