Java校验上传图片文件是否含有木马的两种方式
2018-04-25 本文已影响0人
何何与呵呵呵
这两天开发一个app遇到了上传文件的安全问题,在这里记录下来,弥补自己只有鱼的记忆的缺陷,也希望有人能够提供更好的思路去解决文件上传的安全问题.
下面这个类是文件上传的公共方法,ToolUtils判断的是文件的类型(jpg/png等),这样的做法根本不能避免上传的文件不是木马.下面引入两种方式,调用时候只需要引用一种即可.
private String executeUpload(String uploadDir,MultipartFile file) throws Exception { // 文件后缀名 String suffix = file.getOriginalFilename().substring(file.getOriginalFilename().lastIndexOf(".")); // 判断后缀名是否合法 String suffixs = suffix.substring(1, suffix.length()); boolean isImage = ToolUtils.isImage(suffixs); if(!isImage) { logger.error("the transfer file is not a image!"); throw new FileException("上传非法文件!"); } // 上传文件名 String fileName = UUID.randomUUID() + suffix; InputStream inputStream = file.getInputStream(); // 第二种,判断文件是否含有木马(读取流) // boolean flag = FileUtil.isFile(inputStream); // if(!flag) { // logger.error("the transfer file is not a image!"); // throw new FileException("上传非法文件!"); // } // 服务器端保存的文件对象 // 第一种重写图片引入 try { ImageUtil.resize1(inputStream, fileName, uploadDir); } catch (Exception e) { logger.error("the transfer file is not a image!"); throw new FileException("上传非法文件!"); } // File serverFile = new File(uploadDir + fileName); // 将上传的文件写入到服务器端文件内 // file.transferTo(serverFile); return fileName; }
第一种是将出入的图片重写,实践证明,不是图片的文件会直接报错,然后在executeUpload中被捕获.是图片但有脚本文件的文件会被重写,脚本文件会被移除.
* public class ImageUtil {
public static void resize1(InputStream inputStream, String fileName, String uploadDir) throws Exception {
if (inputStream == null) {
return;
}
BufferedImage src = ImageIO.read(inputStream);
int old_w = src.getWidth();
// 得到源图宽
int old_h = src.getHeight();
// 得到源图长
BufferedImage newImg = null;
// 判断输入图片的类型
switch (src.getType()) {
case 13:
// png,gif
newImg = new BufferedImage(old_w, old_h, BufferedImage.TYPE_4BYTE_ABGR);
break;
default:
newImg = new BufferedImage(old_w, old_h, BufferedImage.TYPE_INT_RGB);
break;
}
Graphics2D g = newImg.createGraphics();
// 从原图上取颜色绘制新图
g.drawImage(src, 0, 0, old_w, old_h, null);
g.dispose();
// 根据图片尺寸压缩比得到新图的尺寸
newImg.getGraphics().drawImage(
src.getScaledInstance(old_w, old_h, Image.SCALE_SMOOTH), 0,0, null);
File newFile = new File(uploadDir+fileName);
String endName = fileName.substring(fileName.lastIndexOf(".")+1).toLowerCase();
ImageIO.write(newImg, endName, newFile);
}
}
第二种是将图片流转换成十六进制的string字符进行过滤,分辨是否含有高危字符.
public static boolean isFile(InputStream inputStream) throws IOException { byte[] byteArray = IOUtils.toByteArray(inputStream); String str = bytesToHexString(byteArray); // 匹配16进制中的 <% ( ) %> // 匹配16进制中的 <? ( ) ?> // 匹配16进制中的 <script | /script> 大小写亦可 // 通过匹配十六进制代码检测是否存在木马脚本 String pattern = "(3c25.*?28.*?29.*?253e)|(3c3f.*?28.*?29.*?3f3e)|(3C534352495054)|(2F5343524950543E)|(3C736372697074)|(2F7363726970743E)"; Pattern mPattern = Pattern.compile(pattern); Matcher mMatcher = mPattern.matcher(str); // 查找相应的字符串 boolean flag = true; if(mMatcher.find()) { flag = false; //过滤java关键字(java import String print write( read() php request alert system)（暂时先这样解决，这样改动最小，以后想后更好的解决方案再优化） String keywordPattern = "(6a617661)|(696d706f7274)|(537472696e67)|(7072696e74)|(777269746528)|(726561642829)|(706870)|(72657175657374)|(616c657274)|(73797374656d)"; Pattern keywordmPattern = Pattern.compile(keywordPattern); Matcher keywordmMatcher = keywordmPattern.matcher(str); if(keywordmMatcher.find()){ flag = false; } } return flag; }
