[PHP]这样会被黑吗？求改进

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

已注册用户请登录

这是一个创建于 3998 天前的主题，其中的信息可能已经有所发展或是发生改变。

因为有时候拉图片拉的不完整，所以判断下MD5

<?php
$target = $_GET['url'];
$filename = basename($target);
$tupian = './cache/'.$filename;
$kzm = explode(".",$filename);
$tupian_md5 = $tupian.'.txt';

if (file_exists($tupian_md5) ) {

if (count(file($tupian_md5)) == '1')
{
$md5file = md5_file($tupian);
file_put_contents($tupian_md5,PHP_EOL.$md5file,FILE_APPEND);
$cOntent= file_get_contents($tupian);
}

else if (count(file($tupian_md5)) == '2' && substr_count(file_get_contents($tupian_md5),mb_substr(file_get_contents($tupian_md5),0,32)) == 2)

{
$cOntent= file_get_contents($tupian);
}

else if (count(file($tupian_md5)) == '2' && substr_count(file_get_contents($tupian_md5),mb_substr(file_get_contents($tupian_md5),0,32)) != 2)

{
@unlink($tupian);
@unlink($tupian_md5);
$cOntent= file_get_contents($target);
}

else
{
$cOntent= file_get_contents($tupian);
}
}
else {
$md5file_t = md5_file($target);
file_put_contents($tupian_md5,$md5file_t);

$cOntent= file_get_contents($target);

$fp = fopen($tupian, 'w+');
fwrite($fp, $content);
fclose($fp);
}

header('Content-Type: image/'.end($kzm).'');
echo $content;
?>

tupian

content

filename

8 条回复 2015-05-17 01:54:07 +08:00

800126

2015 年 5 月 15 日

你加一句“PHP才是最好的语言”，立马就有人回复你了。

ichou

2015 年 5 月 15 日

代码贴到 gist 上再发上来会比较好

RIcter

2015 年 5 月 15 日

会有任意文件读取吧？

p1n3

2015 年 5 月 15 日

xx.php?url=file:///etc/passwd

extreme

2015 年 5 月 15 日

用正则表达式对$_GET['url']以及$filename匹配下比较好，例如不允许有'../'之类的。
例如：preg_match('/^[a-zA-Z0-9\-]+\.(jpg|png|gif)$/', $_GET['url'])
就只允许文件名有字母，数字和'-'，且扩展名仅能为jpg或png或gif。
对这个php文件设置openbasedir，甚至是chroot，更安全。

phithon

2015 年 5 月 15 日

代码不加高亮我就不仔细看了，感觉会出任意文件读取、文件删除漏洞。4楼真相。
建议：
参数是url的话，正则判断 |^https?://.*\.(jpg|png|gif)$|is是否非法。
本地文件名的话，用$name = basename($name);处理一遍，再判断一遍后缀是否是图片就差不多了。

denghongcai

2015 年 5 月 15 日

4楼的并没有任意文件读取，basename也不是个这种情况都照顾不到的函数的

ryd994

2015 年 5 月 17 日 via Android

chroot 解