Java判断文件类型nbsp;(转)

el/2024/7/24 2:47:00

通常,在WEB系统中,上传文件时都需要做文件的类型校验,大致有如下几种方法:

1. 通过后缀名,如exe,jpg,bmp,rar,zip等等。

2. 通过读取文件,获取文件的Content-type来判断。

3. 通过读取文件流,根据文件流中特定的一些字节标识来区分不同类型的文件。

4. 若是图片,则通过缩放来判断,可以缩放的为图片,不可以的则不是。

然而,在安全性较高的业务场景中,1,2两种方法的校验会被轻易绕过。

1. 伪造后缀名,如图片的,非常容易修改。

2. 伪造文件的Content-type,这个稍微复杂点,为了直观,截图如下:

Java判断文件类型 <wbr>(转)

3.较安全,但是要读取文件,并有16进制转换等操作,性能稍差,但能满足一定条件下对安全的要求,所以建议使用。

  但是文件头的信息也可以伪造,截图如下,对于图片可以采用图片缩放或者获取图片宽高的方法避免伪造头信息漏洞。

Java判断文件类型 <wbr>(转)

                                              被伪装成gif的恶意图片文件

对应的Java代码如下:

import java.awt.image.BufferedImage;  

import java.io.File;  

import java.io.FileInputStream;  

import java.io.FileNotFoundException;  

import java.io.IOException;  

import java.io.InputStream;  

import java.util.HashMap;  

import java.util.Iterator;  

import java.util.Map;  

import java.util.Map.Entry;  

import javax.imageio.ImageIO;  

import javax.imageio.ImageReader;  

import javax.imageio.stream.ImageInputStream;  

    

public class FileTypeTest    

{    

    public final static Map FILE_TYPE_MAP = new HashMap();    

        

    private FileTypeTest(){}    

    static{    

        getAllFileType();  //初始化文件类型信息    

    }    

        

       

    private static void getAllFileType()    

    {    

        FILE_TYPE_MAP.put("jpg", "FFD8FF"); //JPEG (jpg)    

        FILE_TYPE_MAP.put("png", "89504E47");  //PNG (png)    

        FILE_TYPE_MAP.put("gif", "47494638");  //GIF (gif)    

        FILE_TYPE_MAP.put("tif", "49492A00");  //TIFF (tif)    

        FILE_TYPE_MAP.put("bmp", "424D"); //Windows Bitmap (bmp)    

        FILE_TYPE_MAP.put("dwg", "41433130"); //CAD (dwg)    

        FILE_TYPE_MAP.put("html", "68746D6C3E");  //HTML (html)    

        FILE_TYPE_MAP.put("rtf", "7B5C727466");  //Rich Text Format (rtf)    

        FILE_TYPE_MAP.put("xml", "3C3F786D6C");    

        FILE_TYPE_MAP.put("zip", "504B0304");    

        FILE_TYPE_MAP.put("rar", "52617221");    

        FILE_TYPE_MAP.put("psd", "38425053");  //Photoshop (psd)    

        FILE_TYPE_MAP.put("eml", "44656C69766572792D646174653A");  //Email [thorough only] (eml)   

        FILE_TYPE_MAP.put("dbx", "CFAD12FEC5FD746F");  //Outlook Express (dbx)    

        FILE_TYPE_MAP.put("pst", "2142444E");  //Outlook (pst)    

        FILE_TYPE_MAP.put("xls", "D0CF11E0");  //MS Word    

        FILE_TYPE_MAP.put("doc", "D0CF11E0");  //MS Excel 注意:word 和 excel的文件头一样    

        FILE_TYPE_MAP.put("mdb", "5374616E64617264204A");  //MS Access (mdb)    

        FILE_TYPE_MAP.put("wpd", "FF575043"); //WordPerfect (wpd)     

        FILE_TYPE_MAP.put("eps", "252150532D41646F6265");    

        FILE_TYPE_MAP.put("ps", "252150532D41646F6265");    

        FILE_TYPE_MAP.put("pdf", "255044462D312E");  //Adobe Acrobat (pdf)    

        FILE_TYPE_MAP.put("qdf", "AC9EBD8F");  //Quicken (qdf)    

        FILE_TYPE_MAP.put("pwl", "E3828596");  //Windows Password (pwl)    

        FILE_TYPE_MAP.put("wav", "57415645");  //Wave (wav)    

        FILE_TYPE_MAP.put("avi", "41564920");    

        FILE_TYPE_MAP.put("ram", "2E7261FD");  //Real Audio (ram)    

        FILE_TYPE_MAP.put("rm", "2E524D46");  //Real Media (rm)    

        FILE_TYPE_MAP.put("mpg", "000001BA");  //    

        FILE_TYPE_MAP.put("mov", "6D6F6F76");  //Quicktime (mov)    

        FILE_TYPE_MAP.put("asf", "3026B2758E66CF11"); //Windows Media (asf)    

        FILE_TYPE_MAP.put("mid", "4D546864");  //MIDI (mid)    

    }    

    

    public static void main(String[] args) throws Exception    

    {    

        File f = new File("c://aaa.gif");    

        if (f.exists())    

        {    

            String filetype1 = getImageFileType(f);    

            System.out.println(filetype1);    

            String filetype2 = getFileByFile(f);    

            System.out.println(filetype2);    

        }    

    }    

    

       

    public final static String getImageFileType(File f)    

    {    

        if (isImage(f))  

        {  

            try  

            {  

                ImageInputStream iis = ImageIO.createImageInputStream(f);  

                Iterator iter = ImageIO.getImageReaders(iis);  

                if (!iter.hasNext())  

                {  

                    return null;  

                }  

                ImageReader reader = iter.next();  

                iis.close();  

                return reader.getFormatName();  

            }  

            catch (IOException e)  

            {  

                return null;  

            }  

            catch (Exception e)  

            {  

                return null;  

            }  

        }  

        return null;  

    }    

    

       

    public final static String getFileByFile(File file)    

    {    

        String filetype = null;    

        byte[] b = new byte[50];    

        try    

        {    

            InputStream is = new FileInputStream(file);    

            is.read(b);    

            filetype = getFileTypeByStream(b);    

            is.close();    

        }    

        catch (FileNotFoundException e)    

        {    

            e.printStackTrace();    

        }    

        catch (IOException e)    

        {    

            e.printStackTrace();    

        }    

        return filetype;    

    }    

        

       

    public final static String getFileTypeByStream(byte[] b)    

    {    

        String filetypeHex = String.valueOf(getFileHexString(b));    

        Iterator> entryiterator = FILE_TYPE_MAP.entrySet().iterator();    

        while (entryiterator.hasNext()) {    

            Entry entry =  entryiterator.next();    

            String fileTypeHexValue = entry.getValue();    

            if (filetypeHex.toUpperCase().startsWith(fileTypeHexValue)) {    

                return entry.getKey();    

            }    

        }    

        return null;    

    }    

        

     

    public static final boolean isImage(File file){  

        boolean flag = false;  

        try  

        {  

            BufferedImage bufreader = ImageIO.read(file);  

            int width = bufreader.getWidth();  

            int height = bufreader.getHeight();  

            if(width==0 || height==0){  

                flag = false;  

            }else {  

                flag = true;  

            }  

        }  

        catch (IOException e)  

        {  

            flag = false;  

        }catch (Exception e) {  

            flag = false;  

        }  

        return flag;  

    }  

      

       

    public final static String getFileHexString(byte[] b)    

    {    

        StringBuilder stringBuilder = new StringBuilder();    

        if (b == null || b.length <= 0)    

        {    

            return null;    

        }    

        for (int i = 0; i < b.length; i++)    

        {    

            int v = b[i] & 0xFF;    

            String hv = Integer.toHexString(v);    

            if (hv.length() < 2)    

            {    

                stringBuilder.append(0);    

            }    

            stringBuilder.append(hv);    

        }    

        return stringBuilder.toString();    

    }    

}  

这样,不管是传入的文件有后缀名,还是无后缀名,或者修改了后缀名,真正获取到的才是该文件的实际类型,这样避免了一些想通过修改后缀名或者Content-type信息来攻击的因素。但是性能与安全永远是无法同时完美的,安全的同时付出了读取文件的代价。本人建议可采用后缀名与读取文件的方式结合校验,毕竟攻击是少数,后缀名的校验能排除大多数用户,在后缀名获取不到时再通过获取文件真实类型校验,这样来适当提高性能。



http://www.ngui.cc/el/5557486.html

相关文章

java反射调用静态方法

Class c; c Class.forName("class name"); Method m c.getMethod("method name", new Class[] {int.class, int.class, int.class,int.class}); m.invoke(c, new Object[] {1,2, 3, 4});

Cometnbsp;(web技术)

Comet是一种用于web的推送技术&#xff0c;能使服务器能实时地将更新的信息传送到客户端&#xff0c;而无须客户端发出请求&#xff0c;目前有两种实现方式&#xff0c;长轮询和iframe流。 长轮询 长轮询是在打开一条连接以后保持&#xff0c;等待服务器推送来数据再关闭的方式…

CentOS6.2nbsp;解决安装腾达w311m…

解压好软件包;2011_0407_RT3070_RT3370_RT5370_RT5372_Linux_STA_V2.5.0.2_DPO.bz2 在文件夹下make; 提示: make****/lib/modules/2.6.32-279.0.1.el6.x86_64/build没有文件或文件夹。 于是到这个文件夹下&#xff0c;试着打开build&#xff0c;系统提示软链接错误是否删除&…

jsoupnbsp;javanbsp;htmlnbsp;解析器用法

使用选择器语法来查找元素 问题 你想使用类似于CSS或jQuery的语法来查找和操作元素。 方法 可以使用Element.select(String selector) 和 Elements.select(String selector) 方法实现&#xff1a; File input new File("/tmp/input.html"); Document doc Jsoup.par…

centos6.2nbsp;腾达W311M无线USB…

W311M无线USB网卡驱动安装(CentOS) 1.#lsusb //列出挂载的 usb 设备 2.#tar -jxvf 2011_0407_RT3070_RT3370_RT5370_RT5372_Linux_STA_V2.5.0.2_DPO.bz2 //解压驱动文件操作 3.#cd 2011_0407_RT3070_RT3370_RT5370_RT5372_Linux_STA_V2.5.0.2_DPO/ //进入解压文件目录 4.#vi os…

javanbsp;URL相对路径转换成绝对路径

//绝对路径 String absolutePath "http://www.sdfsdfsfdf.com/1/2/3.html"; //相对路径 String relativePath "../../a.jpg"; //以下方法对相对路径进行转换 URL absoluteUrl new URL(absolutePath); URL parseUrl new UR…

Servletnbsp;3.0nbsp;新特性概述

Servlet 3.0 作为 Java EE 6 规范体系中一员&#xff0c;随着 Java EE 6 规范一起发布。该版本在前一版本&#xff08;Servlet 2.5&#xff09;的基础上提供了若干新特性用于简化 Web 应用的开发和部署。其中有几项特性的引入让开发者感到非常兴奋&#xff0c;同时也获得了 Jav…

MYSQL用一条SQL语句删除重复记录

MYSQL用一条SQL语句删除重复记录 MYSQL不支持如下语句&#xff1a; delete from t_user where id in(select max(id) as id from t_user group by username ); MYSQL用以下词句就可以&#xff1a; delete t_user from t_user , (select id from t_user group by username havin…

用MYSQLDUMP远程备份MYSQL数据库

mysqldump是备份mysql数据库的一种好工具。它相对于用phpmyadmin等备份工具更加快速&#xff0c;又避免受php.ini等的限制&#xff0c;在windows系统下还可以结合计划任务实现定时远程备份数据库。 操作用mysqldump备份数据库的用户需要的权限比较小&#xff0c;只需要select和…

mysql字符串函数(转载)

对于针对字符串位置的操作&#xff0c;第一个位置被标记为1。 ASCII(str) 返回字符串str的 最左面字符的ASCII代码值。如果str是空字符串&#xff0c; 返回0。如果str是NULL&#xff0c;返回NULL。 mysql> select ASCII(2); -> 50 mysql> select ASCII(2); -> 50 m…