PHP检测上传文件的类型
转载自：http://hi.baidu.com/thinkinginlamp/blog/item/5da6905211f719050df3e356.html
作者：老王
最烂的方法就是通过$_FILES[...]['type']来检测上传文件的类型，因为只需简单修改文件扩展名就可以伪造它。
另一个相对安全点的方法是通过文件头两个字节的内容来判断上传文件的类型，例子代码如下：
01 $handle = fopen($_FILES[...]['tmp_name'], 'rb');
02 $content = fread($handle, 2);
03 fclose($handle);
04
05 $info = unpack('c2chars', $content);
06
07 if (empty($info['chars1']) || empty($info['chars2'])) {
08 exit('Error!');
09 }
10
11 if ($info['chars1'] < 0) {
12 $info['chars1'] += 256;
13 }
14 if ($info['chars2'] < 0) {
15 $info['chars2'] += 256;
16 }
17
18 $code = $info['chars1'] . $info['chars2'];
PHP中的pack&unpack函数很炫，有兴趣的可以看：Handling binary data in PHP with pack() and unpack()
注：网上搜索的大多数相关的程序没有做256的相关操作，这是我通过试验数据自己意淫的TDD结果，不肯定是否一定正确，读者自己斟酌。
通过switch判断$code变量，就可以对应到文件类型，常见的图片类型结果大致如下：
GIF：7173
JPG：255216
PNG：13780
当然也可以判断其他的文件类型，自己做做试验就知道数值大小了。但此方法也不是一定安全的，因为前两个字节的内容也是可以伪造的，所以最好还要限制一下文件的扩展名，以防意外的解析，比如说，你创建一个名为foobar.php的文件，内容如下：
GIF89
<?php eval(...); ?>
当你使用前两个字节去检测文件类型的时候，就会得出GIF：7173的结果，即便使用shell下的file命令去检测，一样会误认为是GIF图片：
# file foobar.php
foobar.php: GIF image data 16188 x 26736
由于扩展名是.php，那么此文件就被php引擎解析了，如此一来就给了黑客一个web shell，安全也就无从谈起了。所以说限制文件扩展名非常重要，切记！至于已经如何发现这类伪装，最简单的方法是在用shell命令过滤一遍：
# strings foobar.php
| grep -i "<?php"
<?php eval(...); ?>
如果想彻底屏蔽此类危险，可以考虑使用gd
，imagemagick
，graphicsmagick
等工具把用户上传的图片进行必要的编辑后再转存，这样就能抹去可能的嵌入代码�
相关文档：
php的函数分为系统函数，用户函数
1，php函数不区分大小写
函数原型：
返回类型 函数名称（类型 参数）
2.1，系统函数中常用的数学函数
abs(eumber) 去绝对值
sin(float) 正弦计算sin(x)
cos(float) 余弦计算cos(x)
log(float) 自然对数计算
sqrt(float) 开平方根计算
log10(float) 10基底的对数
ex ......
function FormatShowTime($nTotalSec)
{
//echo "total sec:" . $nTotalSec . '<br>';
$strTime = "";
//day
if ($nTotalSec > 3600 * 24)
{
$nDay = (int)($nTotalSec / (3600 * 24));
//$nDay > 0 ? $nDay : 1;
$strTime = $nDay;
$strTime .= '天';
//echo "nDay: ......
企业建站自助管理系统是由E易网络(68ws.cn)基于php+mysql开发，集易用性和强大功能为一体企业建站系统，具有丰富多彩的网站企业建站模版，灵活的栏目管理和文章、图文、下载、广告等管理功能，支持阅读权限控制和会员权限管理，支持HTML静态网页生成和多语言，可用于创建各种企业网站建设。
一、主要功能模块
会员 ......
网上花店系统是由E易网络(68ws.cn)基于php+mysql开发，预设鲜花,蛋糕,礼品,绿植等商品类型,具有网上订花,自助订花等网上鲜花销售常用功能和完善的商品类型管理、商品管理、配送支付管理、订单管理、会员分组、会员管理、查询统计和多项商品促销功能。系统具有静态HTML生成、UTF-8多语言支持、可视化模版引擎等技术特 ......
上次写到asp，php空间有关数据库选择的问题。对于数据库的搭配 一般是这样 asp+access/ asp+sql server,然后是php+mysql。access是可以和网页空间共享大小的，而sql server 和mysql是要单独购买的。对于一般的小应用，用asp+access就可以搞定了。或者是.net+access。 这些 几乎就不要考虑数据库成本了。但是使用php的话，就 ......
