injection de code malicieux sur des fichiers images

[gruik]

dans faux.png j'ai mis la même chose que toi c'est à dire <script>alert('Je suis');</script>

j'ai également fait d'autres tests, en créant des images png et jpg règlo et en mettant des commentaires à l'intérieur
ensuite j'ai essayé de convertir les images, d'abord de png -> gif -> png, puis directement png -> png avec l'aide des fonctions imagepng() et imagecreatefrom...(), à chaque fois l'image générée ne contient plus le commentaire, donc on est bon

une solution simple consisterait donc en un truc du genre :

Code PHP :

if ($buff = imagecreatefromstring(file_get_contents($uploaded_file))) {
    imagepng($buff, $destination_file);  // donc ici on publie le fichier definitivement
    unlink($uploaded_file) // et on oublie pas d'effacer le fichier temporaire evidement
}

si imagecreatefromstring() échoue c'est que le fichier n'était pas une image, et si c'est bien un fichier image on le convertit en png systématiquement, on se préoccupe même plus de checker le type du fichier c'est imagecreatefromstring() qui s'en charge

il s'agit pas cela dit de récupérer le code tel quel, mais plutôt de comprendre les principes et les pièges auxquels on essaye d'échapper, par ailleurs je suis pas du tout programmeur en php perso...