injection de code malicieux sur des fichiers images

[supersnail]

Bonjour,

Tout d'abord ton code PHP ne sera exécuté uniquement si tu fais un include() du fichier (ce qu'il ne faut évidemment pas faire...). Pour lire le contenu de l'image, la fonction file_get_contents ("nom_du_fichier") fera très bien l'affaire et lira le contenu entier du fichier sans chercher à l'interpréter, tandis que le javascript éventuel "contenu" dans une image n'est pas interprété par le navigateur.

Ensuite, concernant l'envoi de fichier, le mieux reste encore de vérifier l'extension en autorisant que certaines extensions et en rejetant les autres (pour qu'un attaquant ne puisse pas uploader de fichiers sensibles) ET le type MIME du fichier (vérifier que on reçoit bien une image si le script attend une image).

Sinon pour apprendre, y'a quelques challenges assez faciles qui permettent de t'entraîner à exploiter cette faille