我能伪造上传的图像文件大小吗？

Question

我正在构建一个简单的图像文件上传表单。在编程上，我使用的是Laravel 5框架。通过输入外观(通过照明)，我可以解析文件对象，它本身就是一个UploadedFile (通过Symfony)。

UploadedFile的API ref页面(塞福尼博士)说

公共整数全空getClientSize() 返回文件大小。它是从上传文件的请求中提取的。它不应该被认为是一个安全值。返回值integer null文件大小

• 如果上传的文件大小被错误报道，会发生什么情况？
• 有已知的利用这个的功绩吗？
• 管理员如何确保检测到这一点(因此将其记录为非法侵入尝试)？

Answer 1

该方法使用的是“内容长度”标题，这很容易伪造。您将需要使用轻松构造$_FILES‘’myfile‘。另一个问题的答案是：文件[.][‘大小’]是伪造的吗？

此值检查文件的实际大小，不受所提供的标头的修改。

如果您想检查是否有人行为不检，您可以简单地将内容长度标题与$_FILES‘’myfile‘值进行比较。