流程上傳的動畫GIF爲安全

Question

我們正在一個網站上，以允許上傳動畫GIF。爲了確保圖像確實是一個圖像，沒有惡意軟件/病毒/後門/特洛伊或任何非圖像數據本身，我們嘗試重新創建原始圖像。

但是，當裏面有很多幀時，這個過程本身需要一些時間。有沒有其他方法可以確保上傳的動畫GIF文件不存在上述問題？

Answer 1

你永遠無法100％保證文件不包含惡意軟件 - 即使你的方法有可能gif包含一些可能是惡意的代碼simply by opening the image in a vulnerable viewer。

也就是說，機會很低，您可以預期在大多數現代操作系統中這些錯誤可以相當快地進行修補。

有各種檢查，你可以上傳的文件做盡管這花費更少的處理時間：

• 檢查的文件擴展名是你所期望的 - 忽略content-type在上傳階段，雖然，因爲這可能會被欺騙。
• 病毒使用最新定義的病毒掃描程序掃描所有上傳的文件。
• 不要將文件存儲在可執行的位置 - 例如，不要存儲在web根目錄（www.example.com/uploads/image.aspx）。
• 通過程序或腳本提供文件，該文件從存儲中讀取它們作爲數據，然後將輸出流式傳輸到瀏覽器。

• 提供文件時，請確保正確content-type，如果可能，文件擴展名設置正確。使用Content-Disposition設置名稱瀏覽器將使用：

  Content-Disposition: attachment; filename="fname.ext"