剖析 WordPress `wp_check_filetype()` 函数的源码：如何通过文件头而非扩展名判断文件类型，以增强安全性。 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

各位朋友，大家好！我是你们今天的代码向导，人称“Bug终结者”（自封的）。今天咱们不聊风花雪月，就啃啃 WordPress 的 wp_check_filetype() 这块硬骨头。别怕，我会把这块骨头嚼碎了喂给你们，保证你们消化吸收，吃嘛嘛香！

咱们今天要聊的重点，就是这个函数如何通过文件头（Magic Number）而非扩展名来判断文件类型，从而提升网站的安全性。这就像侦探不是靠嫌疑人穿什么衣服来判断罪犯，而是通过指纹、DNA 这些铁证来锁定真凶一样。

一、扩展名的“伪装术”：安全漏洞的温床

首先，咱们得明白，单纯依靠扩展名来判断文件类型有多么不靠谱。扩展名很容易被篡改。比如，一个恶意 PHP 脚本，可以被命名为 image.jpg，然后上传到服务器。如果服务器只检查扩展名，就会误以为这是一个图片文件，进而执行该脚本，导致安全漏洞。

想象一下，小明精心制作了一个病毒，伪装成一张萌宠照片 cute_cat.jpg.exe。如果你的电脑只看扩展名，可能会直接运行这个“照片”，结果嘛…你懂的！

因此，依赖扩展名来判断文件类型就像是靠颜值来判断一个人是否可靠，风险极高。

二、Magic Number：文件类型的“身份证”

为了解决扩展名带来的问题，就引入了 Magic Number 的概念。 Magic Number，也叫文件头、魔数，是文件开头几个字节的特定序列，用来标识文件类型。不同的文件类型有不同的 Magic Number。就像每个人的身份证号码一样，是独一无二的。

举个例子：

JPEG 图像的文件头通常是 FF D8 FF E0 或 FF D8 FF E1。
PNG 图像的文件头通常是 89 50 4E 47 0D 0A 1A 0A。
GIF 图像的文件头通常是 47 49 46 38 37 61 或 47 49 46 38 39 61。

这样，即使一个文件被改名为 evil.txt，只要它的文件头还是 FF D8 FF E0，我们就能判断它实际上是一个 JPEG 图像。

三、wp_check_filetype() 的源码剖析：如何识别文件头的秘密

好了，铺垫了这么多，终于要进入正题了。让我们一起深入 wp_check_filetype() 的源码，看看它是如何利用文件头来判断文件类型的。

这个函数位于 wp-includes/functions.php 文件中。它的主要功能就是根据文件路径或文件内容，判断文件的 MIME 类型、扩展名和描述。

为了更好地理解，我们把代码简化一下，只关注文件头判断的核心部分：

function wp_check_filetype_by_contents( $filename, $mimes = null ) {
    // 如果没有提供 $mimes，则使用 WordPress 默认的 MIME 类型列表
    if ( empty( $mimes ) ) {
        $mimes = get_allowed_mime_types();
    }

    // 读取文件的前面一部分内容，用于检测 Magic Number
    $file = fopen( $filename, 'rb' ); // 以二进制模式打开文件
    if ( ! $file ) {
        return false; // 无法打开文件
    }
    $bytes = '';
    for ( $i = 0; $i < 64; $i++ ) { // 读取前 64 个字节
        $bytes .= fread( $file, 1 );
    }
    fclose( $file );

    // 循环遍历允许的 MIME 类型，并检查文件头是否匹配
    $found_mime = false;
    $found_ext  = false;
    foreach ( $mimes as $ext_preg => $mime_match ) {
        $mime_split = explode( '#', $mime_match ); // 分割 MIME 类型和正则表达式
        $mime       = $mime_split[0]; // MIME 类型
        $regex      = $mime_split[1]; // 用于匹配文件头的正则表达式

        // 使用正则表达式匹配文件头
        if ( preg_match( $regex, $bytes ) ) {
            $found_mime = $mime;
            $found_ext  = preg_replace( '/|.+/', '', $ext_preg ); // 提取扩展名
            break; // 找到匹配的 MIME 类型，停止循环
        }
    }

    if ( $found_mime ) {
        return array(
            'ext'  => $found_ext,
            'type' => $found_mime,
        );
    } else {
        return false; // 没有找到匹配的 MIME 类型
    }
}

// 获取允许的 MIME 类型列表
function get_allowed_mime_types() {
    $mimes = array(
        'jpg|jpeg|jpe' => 'image/jpeg#^xFFxD8xFF',
        'png'          => 'image/png#^x89PNGx0dx0ax1ax0a',
        'gif'          => 'image/gif#^GIF8[79]a',
        'pdf'          => 'application/pdf#^%PDF-',
        // ... 更多 MIME 类型
    );

    /**
     * Filters the list of allowed mime types and file extensions.
     *
     * @since 2.0.0
     *
     * @param string[] $mimes An array of mime types keyed by the extension regex corresponding to
     *                        those types. 'swf|exe|...' => 'application/x-shockwave-flash'
     */
    return apply_filters( 'upload_mimes', $mimes );
}

让我们逐行解释这段代码：

wp_check_filetype_by_contents( $filename, $mimes = null ) 函数： 这是核心函数，它接收文件名和可选的 MIME 类型列表作为参数。
if ( empty( $mimes ) ) { $mimes = get_allowed_mime_types(); }： 如果没有提供 MIME 类型列表，则使用 get_allowed_mime_types() 函数获取 WordPress 默认的 MIME 类型列表。
get_allowed_mime_types() 函数： 这个函数定义了一个 MIME 类型数组，其中键是扩展名正则表达式，值是 MIME 类型和用于匹配文件头的正则表达式。我们可以看到，这里定义了 JPEG、PNG、GIF 和 PDF 等常见文件类型的 Magic Number 匹配规则。
读取文件内容： 使用 fopen() 函数以二进制模式打开文件，并读取前 64 个字节的内容。为什么是 64 个字节？因为大多数常见的文件类型的 Magic Number 都位于文件的前面几个字节内，64 个字节足够覆盖大部分情况。
循环遍历 MIME 类型列表： 对 get_allowed_mime_types() 返回的数组进行遍历，提取每个 MIME 类型的正则表达式，并使用 preg_match() 函数来匹配文件头。
preg_match( $regex, $bytes )： 这是关键的一步，使用正则表达式 $regex 来匹配文件头 $bytes。如果匹配成功，则表示文件类型与该 MIME 类型匹配。
返回结果： 如果找到匹配的 MIME 类型，则返回一个包含扩展名和 MIME 类型的数组。否则，返回 false。

代码示例：

假设我们有一个名为 test.jpg 的文件，它的内容是标准的 JPEG 图像数据。当我们调用 wp_check_filetype_by_contents( 'test.jpg' ) 函数时，会发生以下过程：

get_allowed_mime_types() 函数返回一个包含 JPEG MIME 类型的数组，其中包含了用于匹配 JPEG 文件头的正则表达式 ^xFFxD8xFF。
wp_check_filetype_by_contents() 函数打开 test.jpg 文件，并读取前 64 个字节的内容。
循环遍历 MIME 类型数组，当遍历到 JPEG MIME 类型时，使用 preg_match( '^xFFxD8xFF', $bytes ) 来匹配文件头。
由于 test.jpg 文件的内容是 JPEG 图像数据，所以文件头与正则表达式 ^xFFxD8xFF 匹配成功。
wp_check_filetype_by_contents() 函数返回一个包含扩展名 jpg 和 MIME 类型 image/jpeg 的数组。

四、安全性提升：魔数识别的价值

通过文件头来判断文件类型，可以有效地防止恶意用户通过篡改扩展名来上传非法文件。即使一个文件被改名为 evil.txt，只要它的文件头不是文本文件的 Magic Number，wp_check_filetype() 函数就能识别出它的真实类型，并阻止上传。

这种机制大大提高了 WordPress 网站的安全性，避免了潜在的安全漏洞。

五、MIME 类型列表的可扩展性

get_allowed_mime_types() 函数使用 apply_filters( 'upload_mimes', $mimes ) 过滤器来允许开发者自定义允许的 MIME 类型列表。这意味着你可以添加或删除 MIME 类型，以满足你的特定需求。

例如，如果你想允许上传 WebP 图像，你可以使用以下代码：

add_filter( 'upload_mimes', 'my_custom_mime_types' );

function my_custom_mime_types( $mimes ) {
    $mimes['webp'] = 'image/webp#RIFF....WEBPVP8 ';
    return $mimes;
}

这段代码会将 WebP 图像的 MIME 类型添加到允许的 MIME 类型列表中，并指定了用于匹配 WebP 文件头的正则表达式。

六、性能考量：魔数识别的代价

虽然通过文件头来判断文件类型可以提高安全性，但也会带来一定的性能开销。因为需要读取文件的部分内容，并使用正则表达式进行匹配。

对于大型文件，读取文件内容可能会占用较多的系统资源。因此，需要权衡安全性和性能之间的关系，选择合适的策略。

七、绕过 Magic Number 检查的可能方法和防御策略

虽然Magic Number检查能提升安全性，但也不是绝对的安全，攻击者可能会尝试绕过这种检查。以下是一些可能的绕过方法和相应的防御策略：

绕过方法	防御策略
文件头注入（File Header Injection）	严格的正则表达式: 使用更精确的正则表达式来验证文件头，确保文件头格式的完整性。多重验证: 结合文件头、文件内容、扩展名等多方面信息进行验证，不要只依赖单一的检查方法。 * 内容安全策略 (CSP): 配置CSP来限制浏览器可以加载的资源类型，可以有效阻止恶意脚本的执行。
文件幻数覆盖（Magic Number Overwrite）	完整性检查: 上传后，对文件进行完整性检查，例如计算哈希值并与预期值进行比较，确保文件没有被篡改。文件内容扫描: 使用病毒扫描引擎或恶意代码检测工具扫描文件内容，查找潜在的恶意代码。 * 沙盒环境: 在沙盒环境中处理上传的文件，限制其对系统资源的访问，即使恶意代码执行，也不会对系统造成严重影响。
多扩展名欺骗（Multiple Extension Trick）	白名单策略: 只允许上传特定类型的文件，而不是根据黑名单来排除恶意文件。删除多余扩展名: 在处理上传的文件时，删除所有多余的扩展名，只保留最后一个扩展名。 * MIME类型验证: 除了文件头，也检查HTTP请求中的`Content-Type`头，但要注意这个头也可以被篡改，所以只能作为辅助参考。
图像隐写术（Image Steganography）	内容安全策略 (CSP): 配置CSP来限制浏览器可以加载的资源类型，可以有效阻止恶意脚本的执行。像素分析: 对图像进行像素分析，检测是否存在异常的数据模式，这些模式可能隐藏了恶意代码。 * 元数据清理: 清理图像的元数据，例如EXIF信息，这些信息可能包含恶意代码或敏感信息。

八、总结：安全与灵活的平衡

wp_check_filetype() 函数通过文件头来判断文件类型，是 WordPress 安全机制的重要组成部分。它可以有效地防止恶意用户通过篡改扩展名来上传非法文件，从而提高网站的安全性。

但同时，我们也需要注意性能开销，以及绕过 Magic Number 检查的可能方法。在实际应用中，需要在安全性和灵活性之间找到平衡点，选择合适的策略。

总而言之，理解 wp_check_filetype() 函数的原理，掌握文件头判断的技巧，可以帮助我们更好地保护 WordPress 网站的安全。

好了，今天的讲座就到这里。希望大家有所收获，以后遇到文件上传问题，不再是两眼一抹黑，而是胸有成竹，挥斥方遒！如果还有什么疑问，欢迎随时提问。祝大家编程愉快，Bug 远离！

发表回复 取消回复

发表回复取消回复