java文件上传漏洞修复工具类

以你之姓@ 2024-02-18 11:05 109阅读 0赞

一、前言

最近安全人员测试系统，说文件上传接口有安全漏洞；

因为文件流是前端传给后台的，说是如果不校验格式的话、会有各种问题。

再此总结下工具类方法。

二、代码

1.常量类

  1. import java.util.Arrays;
  2. import java.util.List;
  4. public class FileTypeContants {
  5.     public static final String FILE_OFFICE = "office";//Word、Excel、PPT
  6.     public static final String FILE_IMG = "img";//图片
  7.     public static final String FILE_AUDIO = "audio";//音频
  8.     public static final String FILE_VEDIO = "vedio";//视频
  9.     public static final String FILE_PDF = "pdf";//pdf
  11.     public static final String FILE_SUFFIX_ERROR    = "文件后缀不正确或文件不存在";
  12.     public static final String FILE_TYPE_ERROR    = "文件类型不正确";
  13.     public static final String FILE_HEADER_ERROR    = "文件头不正确";
  14.     public static final String FILE_SIZE_ERROR    = "文件过大";
  16.     //Word、Excel、PPT 文件后缀
  17.     public static final List<String> FILE_SUFFIX_OFFICE = Arrays.asList("doc","docx", "xls","xlsx","ppt","pptx");
  18.     //图片 文件后缀
  19.     public static final List<String> FILE_SUFFIX_IMG = Arrays.asList("png","jpeg","jpg");
  20.     //音频 文件后缀（目前视频只支持MP3）
  21.     public static final List<String> FILE_SUFFIX_AUDIO = Arrays.asList("mp3");
  22.     //视频 文件后缀（目前视频只支持MP4）
  23.     public static final List<String> FILE_SUFFIX_VEDIO = Arrays.asList("mp4");
  24.     //PDF 文件后缀
  25.     public static final List<String> FILE_SUFFIX_PDF = Arrays.asList("pdf");
  28.     //Word、Excel、PPT 文件类型
  29.     public static final List<String> FILE_TYPE_OFFICE = Arrays.asList(
  30.             "application/msword",//doc
  31.             "application/vnd.openxmlformats-officedocument.wordprocessingml.document",//docx
  32.             "application/vnd.ms-excel",//xls
  33.             "application/vnd.openxmlformats-officedocument.spreadsheetml.sheet",//xlsx
  34.             "application/vnd.ms-powerpoint",//ppt
  35.             "application/vnd.openxmlformats-officedocument.presentationml.presentation"//pptx
  36.             );
  37.     //图片 文件类型
  38.     public static final List<String> FILE_TYPE_IMG = Arrays.asList("image/png","image/jpeg");//jpeg jpg 是一样的
  39.     //音频 文件类型
  40.     public static final List<String> FILE_TYPE_AUDIO = Arrays.asList("audio/mpeg");  
  41.     //视频 文件类型
  42.     public static final List<String> FILE_TYPE_VEDIO = Arrays.asList("video/mp4"); 
  43.     //pdf 文件类型
  44.     public static final List<String> FILE_TYPE_PDF = Arrays.asList("application/pdf");
  47.     //不同类型文件的文件头判断长度不一样
  48.     //Word、Excel、PPT 文件头
  49.     public static final String FILE_HEADER_OFFICE = "D0CF11E0";//doc、xls、ppt
  50.     public static final String FILE_HEADER_OFFICEX = "504B0304";//docx、xlsx、pptx
  51.     //图片 文件头
  52.     public static final String FILE_HEADER_PNG = "89504E47";
  53.     public static final String FILE_HEADER_JPG = "FFD8FF";//jpeg jpg 是一样的
  54.     //音频 文件头
  55.     public static final String FILE_HEADER_MP3 = "494433";
  56.     /**
  57.      *     MP4 文件头有很多种，先只取 000000
  58.      *  00 00 00 14 66 74 79 70 69 73 6f 6d
  59.         00 00 00 18 66 74 79 70
  60.         00 00 00 1c 66 74 79 70
  61.         00 00 00 20 66 74 79 70 4d 34 41
  62.      */
  63.     public static final String FILE_HEADER_MP4 = "000000";
  64.     //pdf 文件头
  65.     public static final String FILE_HEADER_PDF = "25504446";
  69.     //Word、Excel、PPT 文件大小
  70.     public static final long FILE_MAXSIZE_OFFICE = 30 * 1024 ;    // Word/Excel/PPT 都限制30M
  71.     //图片 大小
  72.     public static final long FILE_MAXSIZE_IMG = 10 * 1024;//图片限制10M
  73.     //音频 文件大小
  74.     public static final long FILE_MAXSIZE_AUDIO = 30 * 1024;//MP3限制30M
  75.     //视频 文件大小
  76.     public static final long FILE_MAXSIZE_VEDIO = 2 * 1024 * 1024;//MP4限制2G
  77.     //pdf 文件大小
  78.     public static final long FILE_MAXSIZE_PDF = 20 * 1024;//PDF限制10M
  81.     //其他备用
  82.     public static final String FILE_TYPE_JSON = "application/json";
  83.     public static final String FILE_TYPE_XML = "application/xml";
  84.     public static final String FILE_TYPE_SVG = "image/svg";  
  85. }

说明：
这个是常量类，后续util工具类会用这些常量。

2.工具类

  1. import org.springframework.stereotype.Component;
  2. import org.springframework.web.multipart.MultipartFile;
  4. import java.io.File;
  5. import java.io.FileInputStream;
  6. import java.io.IOException;
  7. import java.io.InputStream;
  9. @Component
  10. public class FileTypeUtil {
  12.     /**
  13.      * 判断文件是否符合要求
  14.      * 文件后缀、文件类型、文件头、文件大小
  15.      * @param file
  16.      * @param fileType
  17.      * @return
  18.      */
  19.     public static String checkSafeMultipartFile(MultipartFile file, String...fileTypes){
  21.         if(file != null && fileTypes != null && fileTypes.length > 0){
  22.             //文件后缀
  23.             String fileName = file.getOriginalFilename();
  24.             Integer index = fileName.lastIndexOf(".");
  25.             String suffix = fileName.substring(index+1).toLowerCase();
  27.             //文件大小
  28.             long fileSize = file.getSize()/1024;
  30.             //文件类型
  31.             String fileContentType = file.getContentType();
  33.             //文件头
  34.             String fileHeader = FileTypeUtil.getFileHeader(file);
  36.             for(String fileType : fileTypes){
  37.                 if(FileTypeContants.FILE_OFFICE.equals(fileType) && FileTypeContants.FILE_SUFFIX_OFFICE.contains(suffix)){
  38.                     //Word、Excel、PPT
  39.                     return FileTypeUtil.checkOffice(fileSize,fileContentType,fileHeader);
  40.                 }else if(FileTypeContants.FILE_IMG.equals(fileType) && FileTypeContants.FILE_SUFFIX_IMG.contains(suffix)){
  41.                     //图片
  42.                     return FileTypeUtil.checkImg(fileSize,fileContentType,fileHeader);
  43.                 }else if(FileTypeContants.FILE_AUDIO.equals(fileType) && FileTypeContants.FILE_SUFFIX_AUDIO.contains(suffix)){
  44.                     //音频
  45.                     return FileTypeUtil.checkAudio(fileSize,fileContentType,fileHeader);
  46.                 }else if(FileTypeContants.FILE_VEDIO.equals(fileType) && FileTypeContants.FILE_SUFFIX_VEDIO.contains(suffix)){
  47.                     //视频
  48.                     return FileTypeUtil.checkVedio(fileSize,fileContentType,fileHeader);
  49.                 }else if(FileTypeContants.FILE_PDF.equals(fileType) && FileTypeContants.FILE_SUFFIX_PDF.contains(suffix)){
  50.                     //PDF
  51.                     return FileTypeUtil.checkPDF(fileSize,fileContentType,fileHeader);
  52.                 }
  53.             }
  54.         }
  55.         return FileTypeContants.FILE_SUFFIX_ERROR;
  56.     }
  58.     public static String checkSafeNormalFile(File file, String...fileTypes){
  60.         if(file != null && fileTypes != null && file.exists() && fileTypes.length > 0){
  61.             //文件后缀
  62.             String fileName = file.getName();
  63.             Integer index = fileName.lastIndexOf(".");
  64.             String suffix = fileName.substring(index+1).toLowerCase();
  66.             //文件大小
  67.             long fileSize = file.length()/1024;
  69.             //文件类型，普通文件没有这个
  70.             //String fileContentType = file.getContentType();
  72.             //文件头
  73.             String fileHeader = FileTypeUtil.getNormalFileHeader(file);
  75.             for(String fileType : fileTypes){
  76.                 if(FileTypeContants.FILE_OFFICE.equals(fileType) && FileTypeContants.FILE_SUFFIX_OFFICE.contains(suffix)){
  77.                     //Word、Excel、PPT
  78.                     return FileTypeUtil.checkOffice(fileSize, fileHeader);
  79.                 }else if(FileTypeContants.FILE_IMG.equals(fileType) && FileTypeContants.FILE_SUFFIX_IMG.contains(suffix)){
  80.                     //图片
  81.                     return FileTypeUtil.checkImg(fileSize, fileHeader);
  82.                 }else if(FileTypeContants.FILE_AUDIO.equals(fileType) && FileTypeContants.FILE_SUFFIX_AUDIO.contains(suffix)){
  83.                     //音频
  84.                     return FileTypeUtil.checkAudio(fileSize, fileHeader);
  85.                 }else if(FileTypeContants.FILE_VEDIO.equals(fileType) && FileTypeContants.FILE_SUFFIX_VEDIO.contains(suffix)){
  86.                     //视频
  87.                     return FileTypeUtil.checkVedio(fileSize, fileHeader);
  88.                 }else if(FileTypeContants.FILE_PDF.equals(fileType) && FileTypeContants.FILE_SUFFIX_PDF.contains(suffix)){
  89.                     //PDF
  90.                     return FileTypeUtil.checkPDF(fileSize, fileHeader);
  91.                 }
  92.             }
  93.         }
  94.         return FileTypeContants.FILE_SUFFIX_ERROR;
  95.     }
  97.     /**
  98.      * 判断文件是否符合要求，多个文件
  99.      * 文件后缀、文件类型、文件头、文件大小
  100.      * @param files
  101.      * @param fileTypes
  102.      * @return
  103.      */
  104.     public static String checkSafeMultipartFiles(MultipartFile[] files, String...fileTypes){
  105.         String checkMessage = "";
  107.         for(MultipartFile file : files){
  108.             checkMessage = FileTypeUtil.checkSafeMultipartFile(file, fileTypes);
  109.             if(!"".equals(checkMessage)){
  110.                 return checkMessage;
  111.             }
  112.         }
  114.         return checkMessage;
  115.     }
  117.     /**
  118.      * 判断 Word、Excel、PPT
  119.      * @param fileSize
  120.      * @param fileContentType
  121.      * @param fileHeader
  122.      * @return
  123.      */
  124.     public static String checkOffice(long fileSize,String fileContentType ,String fileHeader){
  125.         //判断文件类型
  126.         if(!FileTypeContants.FILE_TYPE_OFFICE.contains(fileContentType)){
  127.             return FileTypeContants.FILE_TYPE_ERROR;
  128.         }
  130.         //判断文件头
  131.         if(fileHeader !=null && !fileHeader.startsWith(FileTypeContants.FILE_HEADER_OFFICE) 
  132.                 && !fileHeader.startsWith(FileTypeContants.FILE_HEADER_OFFICEX)){
  133.             return FileTypeContants.FILE_HEADER_ERROR;
  134.         }
  136.         //判断文件大小
  137.         if(fileSize > FileTypeContants.FILE_MAXSIZE_OFFICE){
  138.             return FileTypeContants.FILE_SIZE_ERROR;
  139.         }
  141.         return "";
  142.     }
  144.     public static String checkOffice(long fileSize, String fileHeader){
  146.         //判断文件头
  147.         if(fileHeader !=null && !fileHeader.startsWith(FileTypeContants.FILE_HEADER_OFFICE)
  148.                 && !fileHeader.startsWith(FileTypeContants.FILE_HEADER_OFFICEX)){
  149.             return FileTypeContants.FILE_HEADER_ERROR;
  150.         }
  152.         //判断文件大小
  153.         if(fileSize > FileTypeContants.FILE_MAXSIZE_OFFICE){
  154.             return FileTypeContants.FILE_SIZE_ERROR;
  155.         }
  157.         return "";
  158.     }
  160.     /**
  161.      * 判断图片
  162.      * @param fileSize
  163.      * @param fileContentType
  164.      * @param fileHeader
  165.      * @return
  166.      */
  167.     public static String checkImg(long fileSize, String fileContentType, String fileHeader){
  168.         //判断文件类型        
  169.         if(!FileTypeContants.FILE_TYPE_IMG.contains(fileContentType)){
  170.             return FileTypeContants.FILE_TYPE_ERROR;
  171.         }
  173.         //判断文件头
  174.         if(fileHeader !=null && !fileHeader.startsWith(FileTypeContants.FILE_HEADER_PNG) 
  175.                 && !fileHeader.startsWith(FileTypeContants.FILE_HEADER_JPG)){
  176.             return FileTypeContants.FILE_HEADER_ERROR;
  177.         }
  179.         //判断文件大小
  180.         if(fileSize > FileTypeContants.FILE_MAXSIZE_IMG){
  181.             return FileTypeContants.FILE_SIZE_ERROR;
  182.         }
  184.         return "";
  185.     }
  187.     public static String checkImg(long fileSize, String fileHeader){
  189.         //判断文件头
  190.         if(fileHeader !=null && !fileHeader.startsWith(FileTypeContants.FILE_HEADER_PNG)
  191.                 && !fileHeader.startsWith(FileTypeContants.FILE_HEADER_JPG)){
  192.             return FileTypeContants.FILE_HEADER_ERROR;
  193.         }
  195.         //判断文件大小
  196.         if(fileSize > FileTypeContants.FILE_MAXSIZE_IMG){
  197.             return FileTypeContants.FILE_SIZE_ERROR;
  198.         }
  200.         return "";
  201.     }
  204.     /**
  205.      * 判断音频
  206.      * @param fileSize
  207.      * @param fileContentType
  208.      * @param fileHeader
  209.      * @return
  210.      */
  211.     public static String checkAudio(long fileSize, String fileContentType, String fileHeader){
  212.         //判断文件类型
  213.         if(!FileTypeContants.FILE_TYPE_AUDIO.contains(fileContentType)){
  214.             return FileTypeContants.FILE_TYPE_ERROR;
  215.         }
  217.         //判断文件头
  218.         if(fileHeader !=null && !fileHeader.startsWith(FileTypeContants.FILE_HEADER_MP3)){
  219.             return FileTypeContants.FILE_HEADER_ERROR;
  220.         }
  222.         //判断文件大小
  223.         if(fileSize > FileTypeContants.FILE_MAXSIZE_AUDIO){
  224.             return FileTypeContants.FILE_SIZE_ERROR;
  225.         }
  227.         return "";
  228.     }
  230.     public static String checkAudio(long fileSize, String fileHeader){
  232.         //判断文件头
  233.         if(fileHeader !=null && !fileHeader.startsWith(FileTypeContants.FILE_HEADER_MP3)){
  234.             return FileTypeContants.FILE_HEADER_ERROR;
  235.         }
  237.         //判断文件大小
  238.         if(fileSize > FileTypeContants.FILE_MAXSIZE_AUDIO){
  239.             return FileTypeContants.FILE_SIZE_ERROR;
  240.         }
  242.         return "";
  243.     }
  246.     /**
  247.      * 判断视频
  248.      * @param fileSize
  249.      * @param fileContentType
  250.      * @param fileHeader
  251.      * @return
  252.      */
  253.     public static String checkVedio(long fileSize, String fileContentType, String fileHeader){
  254.         //判断文件类型
  255.         if(!FileTypeContants.FILE_TYPE_VEDIO.contains(fileContentType)){
  256.             return FileTypeContants.FILE_TYPE_ERROR;
  257.         }
  259.         //判断文件头
  260.         if(fileHeader !=null && !fileHeader.startsWith(FileTypeContants.FILE_HEADER_MP4)){
  261.             return FileTypeContants.FILE_HEADER_ERROR;
  262.         }
  264.         //判断文件大小
  265.         if(fileSize > FileTypeContants.FILE_MAXSIZE_VEDIO){
  266.             return FileTypeContants.FILE_SIZE_ERROR;
  267.         }
  269.         return "";
  270.     }
  272.     public static String checkVedio(long fileSize, String fileHeader){
  274.         //判断文件头
  275.         if(fileHeader !=null && !fileHeader.startsWith(FileTypeContants.FILE_HEADER_MP4)){
  276.             return FileTypeContants.FILE_HEADER_ERROR;
  277.         }
  279.         //判断文件大小
  280.         if(fileSize > FileTypeContants.FILE_MAXSIZE_VEDIO){
  281.             return FileTypeContants.FILE_SIZE_ERROR;
  282.         }
  284.         return "";
  285.     }
  289.     /**
  290.      * 判断PDF
  291.      * @param fileSize
  292.      * @param fileContentType
  293.      * @param fileHeader
  294.      * @return
  295.      */
  296.     public static String checkPDF(long fileSize,String fileContentType, String fileHeader){
  297.         //判断文件类型
  298.         if(!FileTypeContants.FILE_TYPE_PDF.contains(fileContentType)){
  299.             return FileTypeContants.FILE_TYPE_ERROR;
  300.         }
  302.         //判断文件头
  303.         if(fileHeader !=null && !fileHeader.startsWith(FileTypeContants.FILE_HEADER_PDF)){
  304.             return FileTypeContants.FILE_HEADER_ERROR;
  305.         }
  307.         //判断文件大小
  308.         if(fileSize > FileTypeContants.FILE_MAXSIZE_PDF){
  309.             return FileTypeContants.FILE_SIZE_ERROR;
  310.         }
  312.         return "";
  313.     }
  315.     public static String checkPDF(long fileSize, String fileHeader){
  317.         //判断文件头
  318.         if(fileHeader !=null && !fileHeader.startsWith(FileTypeContants.FILE_HEADER_PDF)){
  319.             return FileTypeContants.FILE_HEADER_ERROR;
  320.         }
  322.         //判断文件大小
  323.         if(fileSize > FileTypeContants.FILE_MAXSIZE_PDF){
  324.             return FileTypeContants.FILE_SIZE_ERROR;
  325.         }
  327.         return "";
  328.     }
  330.     /**
  331.      * 根据文件路径获取文件头信息
  332.      *
  333.      * @param filePath
  334.      *            文件路径
  335.      * @return 文件头信息
  336.      */
  337.     public static String getFileHeader(MultipartFile file) {
  338.         InputStream is = null;
  339.         String value = "";
  340.         try {
  341.             is = file.getInputStream();
  342.             byte[] b = new byte[16];
  343.             is.read(b, 0, b.length);
  344.             value = bytesToHexString(b);
  345.         } catch (Exception e) {
  346.             e.printStackTrace();
  347.         } finally {
  348.             if (null != is) {
  349.                 try {
  350.                     is.close();
  351.                 } catch (IOException e) {
  352.                     e.printStackTrace();
  353.                 }
  354.             }
  355.         }
  356.         return value;
  357.     }
  359.     public static String getNormalFileHeader(File file) {
  360.         InputStream is = null;
  361.         String value = "";
  362.         try {
  363.             is = new FileInputStream(file);
  364.             byte[] b = new byte[16];
  365.             is.read(b, 0, b.length);
  366.             value = bytesToHexString(b);
  367.         } catch (Exception e) {
  368.             e.printStackTrace();
  369.         } finally {
  370.             if (null != is) {
  371.                 try {
  372.                     is.close();
  373.                 } catch (IOException e) {
  374.                     e.printStackTrace();
  375.                 }
  376.             }
  377.         }
  378.         return value;
  379.     }
  381.     /**
  382.      * 将要读取文件头信息的文件的byte数组转换成string类型表示
  383.      *
  384.      * @param src
  385.      *            要读取文件头信息的文件的byte数组
  386.      * @return 文件头十六进制信息
  387.      */
  388.     private static String bytesToHexString(byte[] src) {
  389.         StringBuilder builder = new StringBuilder();
  390.         if (src == null || src.length <= 0) {
  391.             return null;
  392.         }
  393.         String hv;
  394.         for (int i = 0; i < src.length; i++) {
  395.             // 以十六进制（基数 16）无符号整数形式返回一个整数参数的字符串表示形式，并转换为大写
  396.             hv = Integer.toHexString(src[i] & 0xFF).toUpperCase();
  397.             if (hv.length() < 2) {
  398.                 builder.append(0);
  399.             }
  400.             builder.append(hv);
  401.         }
  402.         System.out.println("HexString: " + builder.toString());
  403.         return builder.toString();
  404.     }
  405. }

说明：
1.checkSafeMultipartFile方法，用来判断入参是MultipartFile的文件是否符合要求

2.checkSafeMultipartFiles方法，用来判断入参是MultipartFile数组的文件是否符合要求

3.调用这些工具方法后，会检查文件后缀是否符合要求、文件大小是否符合要求、文件流中的格式是否与文件名中的格式对应等，如果不符合要求，就返回错误信息；如果符合要求，就返回空字符串

4.可以看常量类，目前只允许word/excel/ppt/pdf/mp3/mp4等文件上传，可以自己根据需要扩展

3.使用样例代码

  1. @PostMapping("/mycontroller/oneUpload")
  2.     public JSONObject OneExport(@RequestParam("file") MultipartFile file,@RequestParam String type) throws Exception {
  4.         JSONObject backJson = new JSONObject();
  6.         //文件必须是 word/excel/ppt/pdf/mp3/mp4
  7.         String checkFile = FileTypeUtil.checkSafeMultipartFile(file, 
  8.                 FileTypeContants.FILE_OFFICE, FileTypeContants.FILE_IMG, FileTypeContants.FILE_PDF,
  9.                 FileTypeContants.FILE_AUDIO, FileTypeContants.FILE_VEDIO);
  11.         if(!"".equals(checkFile)) {
  12.             backJson.put("code", "-1");
  13.             backJson.put("msg", "上传文件格式异常，请重新确认：" + checkFile);
  14.             throw new Exception("上传文件格式异常，请重新确认：" + checkFile);
  15.         }
  17.         ......
  19.         return backJson;
  21.     }

说明：
假设上传文件页面，前端传来了要上传的文件MultipartFile file，先使用工具方法校验，如果目标文件不符合要求，那就报错，不允许上传；如果符合要求，那么才能执行后续的上传操作。

发表评论

表情：
评论列表 （有 0 条评论，109人围观）

还没有评论，来说两句吧...

相关阅读