接受图片上传时的安全问题

Question

接受图片上传时要考虑的主要安全问题是什么,超出了所有HTTP上传的正常内容？

我正在接受图片上传,然后向其他用户展示这些图片.

例如,我应该如何验证上传的图像实际上是有效的图像文件？在观众中是否存在任何可被利用错误的图像文件攻击的已知漏洞,我应该关注这些漏洞是否会意外传递漏洞？(快速谷歌搜索似乎表明曾经有过IE5/6.)

我是否应该删除所有图像元数据以帮助用户防止无意的信息泄露？或者是否有一些安全,必要或有用的东西允许？

是否存在可能存在安全漏洞的常见图像格式的任何神秘功能？

有没有图书馆处理这些问题？(和/或其他问题,例如将渐进式JPEG转换为普通JPEG,下采样以标准化尺寸,优化PNG等)

Answer 1

我最近从网络安全视频中学到了一些东西：

• 核心选项是从一个单独的域提供所有上传的内容，该域仅提供静态内容 - 所有功能都被禁用，并且不存储任何重要内容。
• 考虑通过 imagemagick 等处理图像以消除有趣的业务。
• 有关您遇到的问题的示例，请查找 GIFAR，这是一种将 GIF 和 Java JAR 放在同一文件中的技术。