Защита модулей загрузки файлов: клиентская подмена и практические меры

Клиентская подмена (client-side tampering) означает, что данные, возвращённые клиенту или отправляемые от клиента, нельзя считать надёжными. Модули загрузки файлов особенно уязвимы: проверяйте расширение и MIME-тип на сервере, используйте сигнатуры файлов (magic bytes), храните файлы вне корневой директории веб-сайта и доставляйте их с другого поддомена или с заголовком Content-Disposition: attachment. В статье — пошаговый сценарий атаки с SWF, список контролей, чеклисты для ролей и план реакции.

Почему это важно

Файловые модули загрузки — одна из слабейших частей веб-приложений. Неправильная обработка файлов позволяет злоумышленнику получить контроль над сервером, выполнить произвольный код или провести атаки от имени легитимных пользователей. Простые на первый взгляд ошибки (доверие к имени файла или полагаясь только на заголовок Content-Type) часто становятся дверью для компрометации.

Что такое клиентская подмена

Клиентская подмена — это общий принцип веб-атак: данные, получаемые от клиента или данные, которые браузер формирует для передачи, нельзя считать доверенными. При работе с модулем загрузки файлов это означает, что вы не должны полагаться на:

• имя загружаемого файла (filename)
• заголовок Content-Type, присланный браузером

Оба поля контролируются клиентом и могут быть подделаны. Задача разработчика — реализовать на сервере многоуровневую проверку, которая не позволит обойти ограничения простым переименованием файла или подменой MIME.

Расширение файла и белые списки

Первый шаг при обработке загрузок — жёсткий белый список допустимых расширений и их серверная проверка. Пример: пользователь загружает файл muo.jpeg — вы должны удостовериться, что содержимое действительно соответствует ожидаемому формату .jpeg, а не просто имя заканчивается на “.jpeg”.

Простейшая ошибка — парсить расширение по последней точке в имени файла. Злоумышленник может назвать файл muo.jpeg.php и обойти такую валидацию. Вместо этого используйте серверные средства для определения типа файла по содержимому.

Пример проверки расширения в PHP (чистый пример, не единственный способ):

$file_parts = pathinfo($filename);
switch (strtolower($file_parts['extension'])) {
    case 'jpg':
    case 'jpeg':
    case 'png':
    case 'gif':
        // Разрешённые расширения — дополнительно проверяем сигнатуру
        break;
    default:
        // Отклоняем загрузку
        break;
}

Однако проверка расширения — лишь поверхностная мера. Надёжнее комбинировать её с проверкой содержимого (magic bytes) и серверной детекцией MIME.

Рекомендации по проверке содержимого:

• Используйте механизм определения типа по содержимому: в PHP — расширение Fileinfo (finfo_file, finfo_open).
• Для изображений дополнительно используйте getimagesize() или exif_imagetype(), они вернут фактический тип изображения.
• Сравнивайте заявленный Content-Type с тем, что вернула функция по содержимому. При несоответствии — отклоняйте.

Пример: проверка через Fileinfo

$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mimeType = finfo_file($finfo, $tmpFilePath);
if (!in_array($mimeType, ['image/jpeg', 'image/png', 'image/gif'])) {
    // Отклоняем
}
finfo_close($finfo);

Что такое заголовок Content-Type

Content-Type для части multipart/form-data формируется браузером и может быть изменён в клиентском окружении. Это значит, что проверять только заголовок, который пришёл в HTTP-запросе, недостаточно. Content-Type следует использовать как дополнительный индикатор, но окончательное решение должно приниматься на основе анализа содержимого файла и корпоративных политик.

Пример: вы разрешаете только .jpeg и проверяете Content-Type == image/jpeg. Это полезно, но если злоумышленник изменил заголовок на image/jpeg, а сам файл — исполняемый SWF или .php, нужно чтобы сервер определил это по сигнатурам файла.

SWF, Flash и путь атаки

Несмотря на то что Adobe Flash ушёл в историю и часто отключён, в ряде систем поддержка SWF-файлов или плагинов может сохраняться. Даже без Flash-плагина на стороне пользователя запасной вектор — обработка контента браузером через теги