发布于 由admin

分析 WordPress `wp_get_image_mime()` 函数的源码：如何通过文件类型获取 MIME 类型，并解释其在安全检查中的作用。

WordPress wp_get_image_mime() 函数解剖：图像安全的第一道防线

各位代码爱好者，大家好！今天咱们来聊聊 WordPress 源码里一个看似不起眼，但实则非常重要的函数：wp_get_image_mime()。 别看它名字平平无奇，它可是 WordPress 图像安全检查的第一道防线。 想象一下，如果这个函数出了问题，攻击者就能轻松地上传各种伪装成图片的恶意文件，那 WordPress 网站岂不是要变成黑客的游乐场了？

所以，今天咱们就来好好地剖析一下 wp_get_image_mime()，看看它是如何通过文件类型来获取 MIME 类型，以及它在安全检查中扮演的关键角色。准备好了吗？ Let’s dive in!

1. wp_get_image_mime() 函数的定义和基本功能

首先，让我们来看看 wp_get_image_mime() 函数的代码。由于WordPress的版本在不断更新，我们选取一个相对稳定且具有代表性的版本（例如WordPress 6.0）的代码来进行分析。

/**
 * Returns the mime type of an image, or false if the image cannot be opened.
 *
 * @since 2.0.0
 *
 * @param string $file Image file path.
 * @return string|false The mime type on success, false on failure.
 */
function wp_get_image_mime( $file = null ) {
    // Use MIME types, according to extensions, to avoid using `exif_imagetype()` or `getimagesize()`.
    $mime = false;

    $wp_filetype = wp_check_filetype( $file );
    if ( ! empty( $wp_filetype['ext'] ) && ! empty( $wp_filetype['type'] ) ) {
        $mime = $wp_filetype['type'];
    }

    /**
     * Filters the image mime type.
     *
     * @since 2.5.0
     *
     * @param string|false $mime The image mime type or false.
     * @param string       $file File name.
     */
    return apply_filters( 'wp_get_image_mime', $mime, $file );
}

从代码中我们可以看到：

  • 函数作用: wp_get_image_mime() 函数的主要作用是根据给定的文件路径 $file，尝试确定该文件的 MIME 类型，并返回该 MIME 类型。如果无法确定，则返回 false。

  • 参数: 函数接受一个参数 $file，它表示图像文件的路径。

  • 返回值: 函数返回一个字符串，表示图像的 MIME 类型，例如 image/jpeg， image/png 等。如果无法确定 MIME 类型，则返回 false。

  • 实现逻辑: 函数内部调用了 wp_check_filetype() 函数来获取文件的类型信息，然后从返回的数组中提取 MIME 类型。最后，使用 apply_filters() 钩子来允许其他插件或主题修改 MIME 类型。

简单来说，wp_get_image_mime() 就是一个根据文件后缀名来猜测文件类型的函数。 别小看这个“猜测”，它可是安全检查的第一步。

2. wp_check_filetype() 函数：幕后英雄

wp_get_image_mime() 函数本身并没有直接进行文件类型检测，而是依赖于另一个函数：wp_check_filetype()。 让我们深入了解一下 wp_check_filetype() 函数。

/**
 * Retrieve file type based on extension name.
 *
 * @since 2.0.0
 *
 * @param string      $filename File name or path.
 * @param string|null $mimes    Optional. Array of mime types keyed by their file extension regex.
 *                              If null, will be populated with the default mime types.
 * @return array File extension and mime type.
 */
function wp_check_filetype( $filename, $mimes = null ) {
    if ( empty( $mimes ) ) {
        $mimes = get_allowed_mime_types();
    }

    $type = false;
    $ext  = false;

    foreach ( $mimes as $ext_preg => $mime_match ) {
        $ext_preg = '!.(' . $ext_preg . ')$!i';
        if ( preg_match( $ext_preg, $filename, $matches ) ) {
            $type = $mime_match;
            $ext  = $matches[1];
            break;
        }
    }

    return compact( 'ext', 'type' );
}

wp_check_filetype() 函数的主要功能是根据文件扩展名来判断文件类型。

  • 参数: $filename (文件名或路径) 和 $mimes (可选的 MIME 类型数组)。 如果 $mimes 为空，则使用 get_allowed_mime_types() 函数获取允许的 MIME 类型。

  • 返回值: 一个包含 ext (文件扩展名) 和 type (MIME 类型) 的数组。

  • 实现逻辑: 函数遍历 $mimes 数组，使用正则表达式来匹配文件名中的扩展名。 如果匹配成功，则返回对应的 MIME 类型和扩展名。

wp_check_filetype() 函数的工作流程可以概括为：

  1. 获取允许的 MIME 类型: 如果没有提供 $mimes 参数，则调用 get_allowed_mime_types() 函数获取允许的 MIME 类型列表。
  2. 遍历 MIME 类型列表: 遍历 $mimes 数组，数组的键是扩展名的正则表达式，值是 MIME 类型。
  3. 使用正则表达式匹配扩展名: 使用 preg_match() 函数将文件名与扩展名的正则表达式进行匹配。
  4. 返回结果: 如果匹配成功，则返回包含扩展名和 MIME 类型的数组。

3. get_allowed_mime_types() 函数：安全策略的核心

get_allowed_mime_types() 函数定义了 WordPress 允许上传的文件类型。 它是安全策略的核心，直接影响着网站的安全性。

/**
 * Retrieve list of allowed mime types and file extensions.
 *
 * @since 2.0.0
 *
 * @param int|WP_User $user Optional. User ID or WP_User object to check against. Defaults to the current user.
 * @return array Array of allowed mime types keyed by their file extension regex.
 */
function get_allowed_mime_types( $user = null ) {
    $t = wp_get_mime_types();

    /**
     * Filters the list of allowed mime types.
     *
     * @since 2.0.0
     *
     * @param array     $mime_types Array of mime types keyed by their file extension regex.
     * @param int|WP_User $user       User ID or WP_User object to check against.
     */
    return apply_filters( 'upload_mimes', $t, $user );
}

  • 函数作用: get_allowed_mime_types() 函数用于获取 WordPress 允许上传的文件类型列表。

  • 参数: 可选的用户 ID 或 WP_User 对象，用于进行权限检查。 默认为当前用户。

  • 返回值: 一个数组，其中键是文件扩展名的正则表达式，值是 MIME 类型。

  • 实现逻辑: 函数首先调用 wp_get_mime_types() 函数获取默认的 MIME 类型列表，然后使用 apply_filters() 钩子来允许其他插件或主题修改 MIME 类型列表。

关键在于 wp_get_mime_types() 函数， 它定义了 WordPress 默认允许的文件类型。

/**
 * Returns the list of mime types and file extensions.
 *
 * @since 2.9.0
 *
 * @return array Array of mime types keyed by their file extension regex.
 */
function wp_get_mime_types() {
    $mimes = array(
        'jpg|jpeg|jpe' => 'image/jpeg',
        'gif'          => 'image/gif',
        'png'          => 'image/png',
        'bmp'          => 'image/bmp',
        'tiff|tif'     => 'image/tiff',
        'ico'          => 'image/x-icon',
        'asf|asx|wax|wmv|wmx' => 'video/asf',
        'avi'          => 'video/avi',
        'divx'         => 'video/divx',
        'mov|qt'       => 'video/quicktime',
        'mpeg|mpg|mpe' => 'video/mpeg',
        'mp4|m4v'      => 'video/mp4',
        'ogv'          => 'video/ogg',
        'webm'         => 'video/webm',
        'mkv'          => 'video/x-matroska',
        '3gp|3gpp'     => 'video/3gpp', // Can also be audio.
        '3g2|3gp2'     => 'video/3gpp2', // Can also be audio.
        'txt|asc|c|cc|h' => 'text/plain',
        'csv'          => 'text/csv',
        'rtx'          => 'text/richtext',
        'css'          => 'text/css',
        'htm|html'     => 'text/html',
        'vtt'          => 'text/vtt',
        'dfxp'         => 'application/ttaf+xml',
        'js'           => 'application/javascript',
        'json'         => 'application/json',
        'pdf'          => 'application/pdf',
        'psd'          => 'image/vnd.adobe.photoshop',
        'svg'          => 'image/svg+xml',
        'swf'          => 'application/x-shockwave-flash',
        'rtf'          => 'application/rtf',
        'eot'          => 'application/vnd.ms-fontobject',
        'woff'         => 'application/font-woff',
        'woff2'        => 'application/font-woff2',
        'ttf|ttc'      => 'application/x-font-ttf',
        'otf'          => 'application/x-font-opentype',
        'zip|gz|tar'   => 'application/zip',
        '7z'           => 'application/x-7z-compressed',
        'rar'          => 'application/x-rar-compressed',
        'xml'          => 'application/xml',
        'ics|ical'     => 'text/calendar',
        'odt'          => 'application/vnd.oasis.opendocument.text',
        'odp'          => 'application/vnd.oasis.opendocument.presentation',
        'ods'          => 'application/vnd.oasis.opendocument.spreadsheet',
        'odg'          => 'application/vnd.oasis.opendocument.graphics',
        'doc|docx'     => 'application/msword',
        'pptx|ppt|pps' => 'application/vnd.ms-powerpoint',
        'xlsx|xls'     => 'application/vnd.ms-excel',
        'mp3|m4a|m4b'  => 'audio/mpeg',
        'ogg|oga'      => 'audio/ogg',
        'wav'          => 'audio/wav',
        'wma'          => 'audio/x-ms-wma',
        'mka'          => 'audio/x-matroska',
    );

    /**
     * Filters the list of mime types.
     *
     * @since 2.9.0
     *
     * @param array $mimes Array of mime types keyed by their file extension regex.
     */
    return apply_filters( 'mime_types', $mimes );
}

wp_get_mime_types() 函数返回一个数组，其中键是文件扩展名的正则表达式，值是 MIME 类型。这个数组定义了 WordPress 默认允许的文件类型。

重点:

  • 白名单机制: WordPress 使用白名单机制来限制允许上传的文件类型。 只有在 wp_get_mime_types() 函数返回的数组中定义的扩展名和 MIME 类型才被允许上传。

  • 可扩展性: WordPress 提供了 upload_mimes 和 mime_types 过滤器，允许其他插件或主题修改允许的 MIME 类型列表。 这使得 WordPress 具有很强的可扩展性，可以支持各种不同的文件类型。

  • 安全性: 通过限制允许上传的文件类型，WordPress 可以有效地防止恶意文件上传，从而提高网站的安全性。

4. 安全检查中的作用

wp_get_image_mime() 函数在 WordPress 的安全检查中扮演着至关重要的角色。 它作为图像上传和处理流程的第一步，负责初步判断文件的类型。 虽然仅仅基于文件扩展名来判断类型，但它仍然能够有效地过滤掉一些明显不符合要求的恶意文件。

让我们来看一个简单的例子：

假设一个攻击者试图上传一个名为 evil.php.jpg 的恶意文件。 这个文件的扩展名是 .jpg，但实际上它是一个 PHP 脚本。

  1. 当 WordPress 接收到这个文件时，wp_get_image_mime() 函数会被调用。
  2. wp_get_image_mime() 函数会调用 wp_check_filetype() 函数来判断文件类型。
  3. wp_check_filetype() 函数会根据文件扩展名 .jpg 在 get_allowed_mime_types() 函数返回的 MIME 类型列表中查找对应的 MIME 类型。
  4. 如果找到了 .jpg 对应的 MIME 类型 ( image/jpeg )，wp_check_filetype() 函数会返回 ext 为 jpg，type 为 image/jpeg 的数组。
  5. wp_get_image_mime() 函数会返回 image/jpeg。

虽然 wp_get_image_mime() 函数成功地识别了文件的 MIME 类型，但这并不意味着文件就一定是安全的。 后续的流程还需要进行更严格的检查，例如：

  • 检查文件内容: 使用 getimagesize() 或 exif_imagetype() 函数来检查文件的实际内容是否符合图像格式。
  • 移除可执行代码: 移除文件中可能存在的 PHP 代码或其他可执行代码。
  • 重命名文件: 重命名文件以防止文件名被恶意利用。

5. 绕过 wp_get_image_mime() 的常见方法

虽然 wp_get_image_mime() 函数在安全检查中起着重要的作用，但攻击者仍然可以通过一些方法来绕过它。 常见的绕过方法包括：

  • 双重扩展名: 使用双重扩展名，例如 evil.php.jpg。 攻击者希望利用服务器的解析漏洞，将文件解析为 PHP 脚本。
  • MIME 类型欺骗: 修改文件的 MIME 类型，使其看起来像一个合法的图像文件。
  • 利用上传漏洞: 利用 WordPress 或插件中存在的上传漏洞，绕过所有的安全检查。

为了防止这些攻击，我们需要采取更严格的安全措施，例如：

  • 不要仅仅依赖文件扩展名来判断文件类型。 应该使用 getimagesize() 或 exif_imagetype() 函数来检查文件的实际内容。
  • 移除文件中可能存在的 PHP 代码或其他可执行代码。
  • 重命名文件以防止文件名被恶意利用。
  • 定期更新 WordPress 和插件，修复已知的安全漏洞。
  • 使用安全插件来增强网站的安全性。

6. 代码示例

下面是一些使用 wp_get_image_mime() 函数的代码示例：

示例 1: 获取图像文件的 MIME 类型

$file = '/path/to/your/image.jpg';
$mime_type = wp_get_image_mime( $file );

if ( $mime_type ) {
    echo 'MIME Type: ' . $mime_type;
} else {
    echo 'Unable to determine MIME type.';
}

示例 2: 使用 upload_mimes 过滤器添加允许的 MIME 类型

function my_custom_mime_types( $mimes ) {
    $mimes['svg'] = 'image/svg+xml';
    return $mimes;
}
add_filter( 'upload_mimes', 'my_custom_mime_types' );

示例 3: 更严格的文件类型检查

function custom_file_upload_check( $file ) {
  $file_type = wp_check_filetype( $file['name'] );
  $allowed_types = array('image/jpeg', 'image/png', 'image/gif');

  if ( ! in_array( $file_type['type'], $allowed_types ) ) {
    return new WP_Error( 'invalid_file_type', 'File type not allowed.' );
  }

  // 进一步检查文件内容，防止MIME类型欺骗
  $image_info = getimagesize( $file['tmp_name'] );
  if ( empty( $image_info ) ) {
    return new WP_Error( 'invalid_image', 'Invalid image file.' );
  }

  return $file;
}

add_filter( 'wp_handle_upload_prefilter', 'custom_file_upload_check' );

这个例子展示了如何使用 wp_handle_upload_prefilter 钩子来在文件上传之前进行自定义的检查。它首先使用 wp_check_filetype 检查扩展名，然后使用 getimagesize 检查文件内容，从而提供更强的安全性。

7. 总结

wp_get_image_mime() 函数是 WordPress 图像安全的第一道防线。 它通过文件扩展名来判断文件类型，并与允许的 MIME 类型列表进行比较。 虽然这种方法比较简单，但仍然能够有效地过滤掉一些明显不符合要求的恶意文件。

为了提高网站的安全性，我们不能仅仅依赖 wp_get_image_mime() 函数。 我们还需要采取更严格的安全措施，例如检查文件内容，移除可执行代码，重命名文件，定期更新 WordPress 和插件，以及使用安全插件。

希望今天的讲座能够帮助大家更好地理解 wp_get_image_mime() 函数，以及它在 WordPress 安全检查中的作用。 记住，安全无小事，只有不断学习和实践，才能有效地保护我们的网站免受攻击。

感谢大家的聆听！下次再见！

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注