injection de code malicieux sur des fichiers images

[gruik]

la meilleure solution va etre de verifier les extensions du fichier

la je suis d'accord avec vous c'est une exelente idée de verifier l'extention du fichier

non ça n'est pas une bonne idée justement, même sans parler de double extension tu l'as vu toi même suffit d'un fichier toto.jpg qui contient uniquement du php pour qu'on soit déjà en dehors des clous, la seule méthode valable pour checker le type du fichier c'est de checker son contenu

j'ai modifié un fichier image avec notpad++, je lui ai injécté ce code :

Code :

<script>alert('Je suis');</script>

j'ai utilisé la fonction finfo_file(), il ma dis "image/jpeg" O_o, donc il ne detecte pas le code !!!

bien vu, et au temps pour moi la fonction finfo_file() semble se baser sur le champ Content-type: de la requête http, lui même spoofable, donc on ne peut pas faire confiance à l'info que ça nous donne
je vais faire quelques tests de mon côté pour voir et éviter de te dire des conneries ;p

cela dit tu peux toujours essayer de convertir le fichier, si ça marche c'est que c’était bien une image (sinon pas), et au moins t'es à peu près sûr que s'il y avait des données foireuses dans l'image après conversion elles sont partis