PHP Injection Through Image

[Elmapomap]

Salve, come da titolo mi sono riscontrato nella famosa vulnerabilità per uplodare un file.
Infatti, se in un qualsiasi form di upload immagini facciamo un controllo per l'estensione del file, questo non basta: si può inniettare un file del tipo *.php.png che, come estensione è riconosciuta come immagine, ma una volta uplodata sul server è interpretata come php.
In poche parole non so come risolvere questo problema: avevo pensato di leggere il file prima di uplodarlo, ma nonostante un file php sia ben diverso da un immagine, come faccio a distinguerli?

Help me.

[LucianoS]

ma sei sicuro? ho fatto dei test con un semplice script per upload.
Il file era pagina.php (con dentro <?php echo "hello world"; ?>) e rinominata in "pagina.php.png" e non è successo niente di che. Cioè, richiamando il file via browser, viene restituito il messaggio: "L'immagine “http://localhost/test/pagina.php.png” non può essere visualizzata poiché contiene degli errori."
Non viene interpretato alcun codice.

[arkus]

ciao Elmapomap, anche se avvenisse un upload di questo tipo che problemi potrebbe portare?
Comunque potresti controllare che nel nome del file non ci siano occorrenze della stringa ".php" tramite un'espressione regolare.

[Elmapomap]

ciao, rispondo ad entrambi:
@LucianoS: dipende dalle impostazioni del web server, infatti guarda qui:
creo un file del tipo:

<?
        echo "
           <FORM ACTION=\"\" METHOD=\"POST\">
            Inserit:<INPUT TYPE=\"text\" NAME=\"from\">
           </FORM>
        ";

echo "
".$_POST["from"];

?>

e faccio l'upload: http://mapoetto.net/Varie%20Ed%20Eve...upload.php.png
@arkus: a questo punto penso di rinominare direttamente il file.

[k.b]

Soluzione: usa un server configurato correttamente.

[Elmapomap]

Originariamente inviato da k.b
Soluzione: usa un server configurato correttamente.

La vulnerabilità è nel mio CMS, che è cross-platform!.

[lnessuno]

Credo che il problema stia sul tipo di server: un linux o unix non si basa sull'estensione per controllare il tipo di file ma sul suo mime...

Prova a fare un controllo su questi ultimi, dopo l'upload:
http://www.w3answers.com/index.php?q...mime-types-php