getimagesize 函数不是完全可靠的

admin

原文链接：https://0x1.im/blog/php/php-function-getimagesize.html

getimagesize 函数并不属于 GD 扩展的部分，标准安装的 PHP 都可以使用这个函数。可以先看看这个函数的文档描述：http://php.net/manual/zh/function.getimagesize.php

如果指定的文件如果不是有效的图像，会返回 false，返回数据中也有表示文档类型的字段。如果不用来获取文件的大小而是使用它来判断上传文件是否是图片文件，看起来似乎是个很不错的方案，当然这需要屏蔽掉可能产生的警告，比如代码这样写：

1. <?php
   
2. $filesize = @getimagesize('/path/to/image.png');
   
3. if ($filesize) {
   
4.         do_upload();
   
5. }
   
6. 
   
7. # 另外需要注意的是，你不可以像下面这样写：
   
8. # if ($filesize[2] == 0)
   
9. # 因为 $filesize[2] 可能是 1 到 16 之间的整数，但却绝对不对是0。

复制代码

但是如果你仅仅是做了这样的验证，那么很不幸，你成功的在代码里种下了一个 webshell 的隐患。

要分析这个问题，我们先来看一下这个函数的原型：

1. static void php_getimagesize_from_stream(php_stream *stream, zval **info, INTERNAL_FUNCTION_PARAMETERS)
   
2. {
   
3.         ...
   
4.         itype = php_getimagetype(stream, NULL TSRMLS_CC);
   
5.         switch( itype) {
   
6.                 ...
   
7.         }
   
8.         ...
   
9. }
   
10. 
    
11. static void php_getimagesize_from_any(INTERNAL_FUNCTION_PARAMETERS, int mode) {
    
12.         ...
    
13.         php_getimagesize_from_stream(stream, info, INTERNAL_FUNCTION_PARAM_PASSTHRU);
    
14.         php_stream_close(stream);
    
15. }
    
16. 
    
17. PHP_FUNCTION(getimagesize)
    
18. {
    
19.         php_getimagesize_from_any(INTERNAL_FUNCTION_PARAM_PASSTHRU, FROM_PATH);
    
20. }

复制代码

限于篇幅上面隐藏了一些细节，现在从上面的代码中我们知道两件事情就够了：

• 最终处理的函数是 php_getimagesize_from_stream
• 负责判断文件类型的函数是 php_getimagetype
  

接下来看一下 php_getimagetype 的实现：

1. PHPAPI int php_getimagetype(php_stream * stream, char *filetype TSRMLS_DC)
   
2. {
   
3.         ...
   
4.         if (!memcmp(filetype, php_sig_gif, 3)) {
   
5.                 return IMAGE_FILETYPE_GIF;
   
6.         } else if (!memcmp(filetype, php_sig_jpg, 3)) {
   
7.                 return IMAGE_FILETYPE_JPEG;
   
8.         } else if (!memcmp(filetype, php_sig_png, 3)) {
   
9.                 ...
   
10.         }
    
11. }

复制代码

去掉了一些细节，php_sig_gif php_sig_png 等是在文件头部定义的：

1. PHPAPI const char php_sig_gif[3] = {'G', 'I', 'F'};
   
2. ...
   
3. PHPAPI const char php_sig_png[8] = {(char) 0x89, (char) 0x50, (char) 0x4e, (char) 0x47,
   
4.                                     (char) 0x0d, (char) 0x0a, (char) 0x1a, (char) 0x0a};

复制代码

可以看出来 image type 是根据文件流的前几个字节（文件头）来判断的。那么既然如此，我们可不可以构造一个特殊的 PHP 文件来绕过这个判断呢？不如来尝试一下。

找一个十六进制编辑器来写一个的 PHP 语句，比如：

1. <?php phpinfo(); ?>

复制代码

1. 3C3F 7068 7020 7068 7069 6E66 6F28 293B 203F 3E

复制代码

这几个字符的十六进制编码（UTF-8）是这样的：

1. 8950 4E47 0D0A 1A0A 3C3F 7068 7020 7068 7069 6E66 6F28 293B 203F 3E

复制代码

最后保存成 .php 后缀的文件（注意上面是文件的十六进制值），比如 test.php。执行一下 php test.php你会发现完全可以执行成功。那么能用 getimagesize 读取它的文件信息吗？新建一个文件写入代码试一下：

1. <?php
   
2. print_r(getimagesize('test.php'));

复制代码

执行结果：

1. Array
   
2. (
   
3.     [0] => 1885957734
   
4.     [1] => 1864902971
   
5.     [2] => 3
   
6.     [3] => width="1885957734" height="1864902971"
   
7.     [bits] => 32
   
8.     [mime] => image/png
   
9. )

复制代码

成功读取出来，并且文件也被正常识别为 PNG 文件，虽然宽和高的值都大的有点离谱。

现在你应该明白为什么上文说这里留下了一个 webshell 的隐患的吧。如果这里只有这样的上传判断，而且上传之后的文件是可以访问的，就可以通过这个入口注入任意代码执行了。

那么为什么上面的文件可以 PHP 是可以正常执行的呢？用 token_get_all 函数来看一下这个文件：

1. <?php
   
2. print_r(token_get_all(file_get_contents('test.php')));

复制代码

如果显示正常的话你能看到输出数组的第一个元素的解析器代号是 312，通过 token_name 获取到的名称会是 T_INLINE_HTML，也就是说文件头部的信息被当成正常的内嵌的 HTML 代码被忽略掉了。

至于为什么会有一个大的离谱的宽和高，看一下 php_handle_png 函数的实现就能知道，这些信息也是通过读取特定的文件头的位来获取的。

所以，对于正常的图片文件，getimagesize 完全可以胜任，但是对于一些有心构造的文件结构却不行。

在处理用户上传的文件时，先简单粗暴的判断文件扩展名并对文件名做一下处理，保证在服务器上不是 php 文件都不能直接执行也是一种有效的方式。然后可以使用 getimagesize 做一些辅助处理。