我正在编写一个小型的PHP应用程序，不确定是否存在安全问题。以下是该应用程序的功能：
我检查mime类型和扩展名，如果不允许上传，则不允许上传（这不是我担心的部分）。
现在，一旦上传完成，我将文件重命名为唯一的哈希值并存储在根目录之外的文件夹中。
用户现在可以通过短URL访问该文件。我设置正确的mime类型来使文件可访问，并使用readfile（）函数读取。
我的问题是：是否会在图像文件中包含jar文件的漏洞同样适用于此处？我将图像作为纯图像呈现。
如果确实有此漏洞，如何防范？
谢谢。
仅检查MIME类型是不够的，因为任何HTTP头字段都可以被伪造。确认文件是否为有效图像的最佳方法是尝试以编程方式读取它作为图像。如果它可以被解析为图像，则可以相当有信心地认为它不是恶意代码。
相关：确保上传的文件是安全的
任何隐藏的漏洞都不应该影响服务器，因为您处理它的方式。您只是存储二进制信息，并检索二进制信息，而不以任何方式处理它。试图显示被利用内容的浏览器可能面临风险，但标准图像类型相当安全。
如果您想更安全，可以在每个上传的文件上运行反病毒软件。如果您使用*nix平台，则可以使用业界标准ClamAV。
我更担心有人尝试上传非常大的图像文件。
http://www.gnucitizen.org/blog/java-jar-attacks-and-features/
我之前甚至都没有听说过这次攻击，所以首先要感谢你让我知道了！通过搜索，似乎有基本上两种不同的攻击方式。这两种攻击方式都涉及攻击者引诱“常规”用户访问指向冒充 JAR 文件的恶意站点，并且都与该 JAR 在您网站的“上下文”中执行有关（即源将是您的网站）。
第一种攻击与小程序能够读取用户 cookie 有关，这基本上意味着它将能够窃取用户登录您域名的信息。
第二个攻击与小程序现在被允许在您的域内打开其他套接字连接有关，如果您服务器防火墙后面的用户访问了恶意页面，则非常危险（使攻击者能够有效地绕过您的防火墙）。
因此，这种攻击不一定会直接损害您的服务器，但它确实会损害您的用户 - 希望您关心您的用户。您可以做的两件事情已经在大多数其他答案中提到，并在 this page 中概述。
