检查上传图片是否合法的函数,木马改后缀名、图片加恶意代码均逃不过

检查上传图片是否合法的函数攻略

为了确保上传的图片是合法的，我们可以采取以下步骤：

1. 验证文件类型：首先，我们需要验证上传的文件是否是图片文件。我们可以通过检查文件的扩展名或者使用文件的魔术数字（magic number）来确定文件类型。常见的图片文件类型有JPEG、PNG、GIF等。以下是一个示例函数，用于验证文件类型：

import imghdr

def is_valid_image(file_path):
    valid_extensions = ['.jpg', '.jpeg', '.png', '.gif']
    file_extension = file_path[file_path.rfind('.'):]

    if file_extension.lower() not in valid_extensions:
        return False

    # 使用imghdr模块验证文件类型
    image_type = imghdr.what(file_path)
    if image_type is None:
        return False

    return True

1. 检查文件内容：验证文件类型只是第一步，我们还需要确保文件的内容是合法的图片。恶意用户可能会尝试通过修改文件后缀名或在图片中插入恶意代码来绕过文件类型验证。为了检查文件内容，我们可以使用图像处理库（如PIL）加载图片，并尝试解码图片数据。如果解码成功，则说明文件内容是合法的图片。以下是一个示例函数，用于检查文件内容：

from PIL import Image

def is_valid_image_content(file_path):
    try:
        with Image.open(file_path) as img:
            img.verify()
            return True
    except (IOError, SyntaxError):
        return False

这两个函数结合起来可以有效地检查上传图片的合法性。如果文件类型验证和文件内容验证都通过，则可以认为上传的图片是合法的。

示例说明

示例1：修改后缀名的木马文件

假设有一个名为malicious.jpg的文件，实际上它是一个木马文件，但是恶意用户将其后缀名修改为.jpg以绕过文件类型验证。使用上述的函数进行验证时，is_valid_image('malicious.jpg')会返回False，因为文件类型验证会检测到后缀名不匹配。

示例2：图片中插入恶意代码

假设有一个名为malicious.png的文件，其中插入了恶意代码。使用上述的函数进行验证时，is_valid_image_content('malicious.png')会返回False，因为文件内容验证会失败，无法成功解码图片数据。

通过以上的攻略和示例，我们可以有效地检查上传图片的合法性，无论是修改后缀名还是插入恶意代码都无法绕过这些验证步骤。