Защита модулей загрузки файлов от атак клиентской подделки

Файловые загрузки остаются одной из самых уязвимых частей веб-приложений. Даже «небольшие» ошибки в обработке загруженных файлов часто приводят к удалённому выполнению кода на сервере или краху безопасности проекта. Разработчикам нужно понимать распространённые ошибки и возможные сценарии атак, чтобы строить надёжные защитные механизмы.

Что такое клиентская подделка?

Клиентская подделка — это фундаментальная идея в веб-безопасности: нельзя доверять любым данным, которые приходят от клиента. Под клиентской подделкой подразумевается любое намеренное изменение данных на стороне клиента до отправки на сервер. В контексте загрузки файлов это прежде всего:

• имя загруженного файла;
• значение заголовка Content-Type (MIME-типа), отправляемое браузером или клиентом.

Оба этих значения полностью управляются клиентом и могут быть подделаны. Имя файла может содержать любые символы и несколько точек; Content-Type легко изменить в запросе. Это даёт злоумышленнику пространство для обхода примитивных проверок на стороне сервера.

Важно: серверные проверки должны базироваться на фактическом содержимом файла, а не только на метаданных, присланных клиентом.

Расширение файла и белые списки

Первый технический барьер при обработке загрузок — белый список допустимых расширений. Но простая проверка расширения по имени файла ненадёжна. Проблемные сценарии:

• имя «muo.jpeg.php» обходит простые проверки по последней точке;
• регистр расширения может отличаться (.JPEG, .Jpg);
• расширение отсутствует вовсе.

Пример простого PHP-кода из исходного текста (сохранён):

$file_parts = pathinfo($filename);  
switch($file_parts['extension'])  
{  
    case "jpg":  
    break;  
  
    case "bat": // Or exe, dll, so, etc.  
    break;  
  
    case "":  
    case NULL: // No file extension  
    break;  
}  

Этот фрагмент демонстрирует идею, но требует доработки. Рекомендации:

• Приводите расширение к нижнему регистру и сравнивайте со списком разрешённых расширений.
• Не доверяйте только имени — проверяйте содержимое файла (finfo или аналог).
• Генерируйте безопасные имена файлов на сервере (например, UUID или хэш).
• Скрывайте структуру и расположение директории загрузки.

Пример более надёжной логики на PHP (иллюстрация):

// Пример проверки расширения и содержимого
$allowed_ext = ['jpg','jpeg','png','gif'];
$original_name = $_FILES['file']['name'];
$ext = strtolower(pathinfo($original_name, PATHINFO_EXTENSION));
if (!in_array($ext, $allowed_ext)) {
    throw new Exception('Недопустимое расширение');
}
// Проверяем MIME по содержимому
$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime = finfo_file($finfo, $_FILES['file']['tmp_name']);
finfo_close($finfo);
if (!in_array($mime, ['image/jpeg','image/png','image/gif'])) {
    throw new Exception('Недопустимый MIME-тип');
}
// Безопасное имя
$safe_name = bin2hex(random_bytes(16)) . '.' . $ext;
move_uploaded_file($_FILES['file']['tmp_name'], '/var/www/uploads/' . $safe_name);

Дополнительно: при работе с изображениями полезно принудительно пересоздавать изображение на сервере (например, с помощью GD или ImageMagick). Это исключает возможность загрузки полиглот-файла, который одновременно является изображением и исполняемым кодом.

Что такое информация Content-Type?

Content-Type — это MIME-тип, который браузер указывает при отправке файла в HTTP-запросе. Этот заголовок помогает серверу понять, с каким типом содержимого он имеет дело. Однако значение Content-Type приходит от клиента и может быть подделано.

Почему Content-Type нельзя доверять:

• злоумышленник может изменить заголовок или сформировать сырой запрос с ложным MIME;
• некоторые клиенты или прокси выполняют «MIME-sniffing» и могут интерпретировать контент по-своему.

Что нужно делать:

1. Всегда проверяйте MIME по фактическому содержимому файла (finfo, getimagesize для изображений).
2. Устанавливайте заголовок X-Content-Type-Options: nosniff на стороне сервера, чтобы браузеры не «угадывали» MIME и не интерпретировали контент иначе.
3. При возможности пересоздавайте/пересохраняйте файлы на сервере (ревалидация), чтобы удалить скрытые данные и полезные нагрузки.

Пример проверки MIME в PHP (фрагмент выше) и вызов getimagesize для изображений:

$info = @getimagesize($_FILES['file']['tmp_name']);
if ($info === false) {
    throw new Exception('Файл не является изображением');
}
// $info[2] содержит константу IMAGETYPE_..., можно дополнительно проверить соответствие расширению

Также важно логировать несоответствия MIME и расширения для последующего анализа инцидентов.

SWF (Flash) и последовательность атаки

Поддержка Adobe Flash официально завершена, но на некоторых системах и браузерах всё ещё могут встречаться плагины или встроенные реализации. Flash/SWF-файлы могут быть исполнены браузером с типом application/x-shockwave-flash, даже если расширение файла выглядит как .jpeg, если браузер или плагин принудительно интерпретирует файл как SWF.

Типичный сценарий атаки:

1. Злоумышленник загружает SWF-файл с именем image.jpeg. Сервер пропускает файл по расширению, а Content-Type был подделан клиентом.
2. Файл оказывается по URL: https://www.target-site.com/images/image.jpeg.
3. На сайте attacker.com злоумышленник встраивает этот URL в