java 获取文件的真实类型(除了通过后缀,包头的等校验方式) 5C

最近开发余遇到一个很棘手的问题 客户平台的安全级别很高
对文件上传那一块非常严格 平台内图片上传前端做了一个后缀的校验,
后台做的是用包头的方式做校验,但是文件的包头还是可以通过特定工具去修改
所以这种方式不可取,除了这两种还有别的方式校验文件吗 ,求大神指导呀

图片说明

4个回答

最严格的就是用你已知的文件类型的解析程序分别解析,能解析的就算这个格式。
除此之外,别无办法。

请修改文件头,替换为图片格式。

qq_37692669
qq_37692669 呃 要客户去上传正常文件吗? 我的意思是怎么去解决这个风险
10 个月之前 回复

对文件头进行校验就好了
参考文档:https://blog.csdn.net/qq_29663071/article/details/79756381

qq_37692669
qq_37692669 回复A智丨勇灬: 不是很明白。。。
10 个月之前 回复
q280917903
A智丨勇灬 回复: 这就牵扯到用户必须上传指定的文件
10 个月之前 回复
q280917903
A智丨勇灬 提取文件的文件头,然后加密,生成指定后缀的文件,然后在解密加密后的文件头,再改回来
10 个月之前 回复
qq_37692669
qq_37692669 文件头不行呀。 文件头也可以用工具修改的。修改文件头和后缀防不住
10 个月之前 回复

如果是防外部用户的话,可以要求前端将图片转成base64位编码,然后进行一次加密,后端解密,然后重新生成图片文件;
如果是防内部用户的话,可以考虑后端使用图片编辑框架,尝试打开图片操作下,如果报错,即可判断不是图片文件

weixin_42686388
嫒de洫天使 回复qq_37692669: 正常用户不会上传恶意文件,非要传恶意文件的,你只需要考虑的是这个文件是否有破坏性,针对处理就行,至于这个文件类型是啥,没必要管那么多啊,不能用是他自己的事情
10 个月之前 回复
weixin_42686388
嫒de洫天使 回复qq_37692669: 考虑其他类型文件,那你关注的重点应该就不是文件格式了,而且上传文件的安全性,重点防止注入攻击就好了
10 个月之前 回复
weixin_42686388
嫒de洫天使 回复qq_37692669: 这就涉及的脚本注入方面的知识了,可以考虑:特殊字符过滤(可以参考sql预编译思想)、数据有效性校验等
10 个月之前 回复
qq_37692669
qq_37692669 想了一下 后台的话其他dox ppt xls 这一类的有其他方式吗。
10 个月之前 回复
qq_37692669
qq_37692669 要防肯定是要彻底的,前端那个过滤我试试做一下, 后台过滤的话考虑到正常图片中带脚本有办法不
10 个月之前 回复
Csdn user default icon
上传中...
上传图片
插入图片
抄袭、复制答案,以达到刷声望分或其他目的的行为,在CSDN问答是严格禁止的,一经发现立刻封号。是时候展现真正的技术了!
其他相关推荐
求解答java通过请求头如何得到文件类型后缀

java中,上传一个文件,首先要从文件的请求头中得到文件的内容类型,然后判断文件的扩展名,请知道的大神详细解答!

java读取文件时,判断文件类型与后缀是否一致

java读取文件时,判断文件类型与后缀是否一致,若是人文手动修改文件后缀,将excel改成doc,那这时候校验出来的结果应该是文件格式与后缀不一致这个结果。(不使用只判断后缀名的方式)

JAVA文件类型如何准确判断真实类型

目前需要进行对docx和zip格式文件进行判断,判断后缀名肯定不行(后缀名可以恶意更改),头文件解析的话docx和zip的头文件时相同的,还有什么方式能准确区分这两种类型的文件的?

ContentType判断文件类型的原理是不是按照后缀名改变的

java7之后用ContentType判断文件类型,当手动修改了文件名后缀时他的ContentType会不会随之改变,为何我试了两次,第一次修改后缀明后返回还是第一次的contentType,第二次修改了后contentType值就变成修改后的了。 ContentType的原理是不是按照后缀名改变的。求解了。。。急死我了!

java web网页文件后缀的问题

在网页开发中,网页文件命名HTML和JSP文件有什么区别吗?我写了Java和HTML在一个文件里面,后缀无论是哪一个感觉没有影响啊。是不是和CSS,JS文件一样,它们都是可以嵌入HTML的代码,当需要多次使用以及代码结构清晰等问题,将一个文件中的一种语言的代码全部提取到以它的语言命名的文件夹里面? 现在由于刚学习web开发,短时间内接触了这几门语言,写代码的时候文件后缀都不知道有什么影响,浏览器在打开这些文件的时候有区别吗? **希望各位能够解惑一下,非常感谢!**

ContentType判断文件类型,当文件后缀名改变后,该文件的ContentType值会不会变化

ContentType判断文件类型,当文件后缀名改变后,他的ContentType值还是原来文件类型的ContentType值还是修改后文件类型的ContentType值。

java ftp 正在下载的文件使用后缀.tmp标记,下载完成后使用ftp上的文件名

各位大神,我想实现这样一个功能:使用java语言从ftp上下载文件,正在下载中的文件使用.tmp后缀标记,下载完成后使用.log.gz,ftp上的文件就是.log.gz文件,请问怎么实现,最好有代码。使用字符串拼接,还有下载完成重命名都试过了,不起作用。

如何通过一个URL获取文件名和文件类型

我想自己搭建一个离线下载服务器,怎样能通过一个URL获取这个文件的文件名和文件类型 比如http://www.baidu.com/a/b/c/index.php?a=1&b=2这样子的 还比如url中有中文编码%B7%E5%A3%AB.mp4这种的 还比如http://www,baidu.com/?a=b&c=d这样的 假如是iis服务器在响应头中甚至没有Content-Type filename 求一个统一点的解决办法

java文件类型如何准确进行判断呢

目前需要进行对docx和zip格式文件进行判断,判断后缀名肯定不行(后缀名可以恶意更改),头文件解析的话docx和zip的头文件时相同的,还有什么方式能准确区分这两种类型的文件的?

在文件数量过多的情况下java怎么获取文件夹下第一个文件并且不使用List遍历

在文件数量过多的情况下java怎么获取文件夹下第一个文件并且不使用List遍历,防止内存溢出

java如何通过图片链接获取图片的格式

要将图片通过链接下载到本地然后在上传到自己的服务器上 但是图片的格式是无法获取到 存入到本地的都是判断出来的格式 有一些是不正确的 ``` URL url = new URL(matcher2.group().substring(5, matcher2.group().length() - 1)); String last = getUrl(String.valueOf(url)); URLConnection con = url.openConnection(); con.setConnectTimeout(120 * 1000); InputStream is = con.getInputStream(); byte[] bs = new byte[1024]; int len; String xxUrl = "temp"; File sf = new File(xxUrl); if (!sf.exists()) { sf.mkdirs(); } String uuid32 = getUUID32(); OutputStream os = new FileOutputStream(sf.getPath() + "/" + uuid32 + last); ``` 在outPut的时候last就是图片的格式 但是不知道怎么通过链接获取图片格式 请教一下大佬帮忙看一下有什么事可以解决的 图片链接 https://mmbiz.qpic.cn/mmbiz_jpg/FJYxahcppx2C9jyw4hJQKH9R9Ws8LdPicmrAvfw7kS1Tau6PuLP7eOBjqybtiaT9icJo9OupL9ibMdAIFBnR2wtvSQ/640?wx_fmt=jpeg&tp=webp&wxfrom=5&wx_lazy=1&wx_co=1

求解shell问题 判断目录下的文件的修改时间与文件后缀名,并获取文件名

我的需求是: 1.判断指定目录及其子目录下的所有文件的修改时间与系统时间相比是否超过2天。 2.如果超过2天则判断文件的后缀名 3.如果后缀名不为 bak ,则获取该文件的文件名并输出到控制台。 本人shell是个初学的新手,求各位赐教,谢谢!

JAVA中文件操作使用lastindexof获得后缀名的问题

代码如下,我输入E:\Application software\AUTO专杀.rar,追踪index函数返回的是6,也就是我的suffix是plication software\AUTO,试了很多别的文件路径,都找不到最后的那个".",请高手指教下为什么,是E:\的问题吗? ``` package javaapplication1; import java.io.*; import java.text.DateFormat; import java.util.Date; import javafx.scene.shape.Path; public class One { public static void main(String[] args) throws Exception { String path, Fsuffix; int index; Date d = new Date(); String s; s = DateFormat.getDateInstance(DateFormat.DEFAULT).format(d); BufferedReader bin = new BufferedReader(new InputStreamReader(System.in, "gb2312")); path = bin.readLine(); File f1 = new File(path); //System.out.println(path); //index = f1.getName().lastIndexOf("."); //Fsuffix = Path. File f2 = new File("d:\\" + s+"" +".rar"); if (f2.exists()) { f2.delete(); } f2.createNewFile(); RandomAccessFile RR = new RandomAccessFile(f1, "r"); RandomAccessFile RW = new RandomAccessFile(f2, "rw"); TH_FILE_RW p1=new TH_FILE_RW(RR,RW,0,(long)(f1.length()/2)); TH_FILE_RW p2=new TH_FILE_RW(RR,RW,1+(long)(f1.length()/2),f1.length()); p1.start(); p2.start(); } } class TH_FILE_RW extends Thread { RandomAccessFile RR; RandomAccessFile RW; long begin, end; public TH_FILE_RW(RandomAccessFile RR, RandomAccessFile RW, long begin, long end) { this.RR = RR; this.RW = RW; this.begin = begin; this.end = end; } long num = 0; byte bt[] = new byte[1024]; public void run() { while (true) { try{ int count=RR.read(bt); num+=count; if(count<=0) { break; } if(num>=(end-begin)) { count=count-(int)(num-(end-begin)); RW.write(bt, 0, count); break; } RW.write(bt, 0, count); }catch (Exception e) { e.printStackTrace(); } } } } ```

java中如何加载后缀为g的语法文件?

我是在netbeans7.4下开发的,java版本为jdk1.7.0_51。在类文件中引用了两个类,分别是 JSHOP2Lexer和JSHOP2Parser,而这两个类是在一个JSHOP.g的文件中定义的,这个文件已经导入,但是属性显示不能识别,在我的类文件中也显示这两个类“找不到符号”。 请问在netbeans中如何导入.g文件中定义的类呢? JSHOP.g文件是用基于antlr.jar写的语法文件,是JSHOP2项目的(http://www.cs.umd.edu/projects/shop/)。作用是将按预定语法编写的domain和problem文件编译成.java文件和.class文件。 谢谢!

怎么使用随机流RandomAccessFile读取后缀名为 .java的文件,并且按 行显示读取的结果。

求大佬解答一下,怎么样怎么使用随机流RandomAccessFile读取后缀名为 .java的文件,并且按 行显示读取的结果。

struts2上传文件的时候,action里面获取上传文件的文件名和类型的原理是什么?

<p>在jsp页面代码:</p> <p> </p> <pre name="code" class="java">&lt;s:file name="upload" label="上传的文件" /&gt;</pre> <p> action中,声明代码:</p> <p> </p> <pre name="code" class="java">private File upload; private String uploadContentType; // 文件的内容类型 private String uploadFileName; // 上传文件名</pre> <p> </p> <p>这里有个疑问, 文件名和文件类型是如何获取的?</p> <p>大家科普一下吧</p>

Java利用poi获取excel文件数据出错

读取一般的excel文件是没有问题的,就算碰到excel文件中插入表格的那种,获取数据就报空指针异常,求大神指点!!! 我怀疑是不是是不是读取表格还有接着写方法?错误提示如下: java.lang.NullPointerException at my.core.utils.io.excel.ExcelUtil.readExcel(ExcelUtil.java:120) at test.my.core.utils.io.excel.TestMyCell.testListFiles(TestMyCell.java:48) 而且一异常,我的本地excel文件就打开报错了,数据什么的都没有了

按MIME类型获取文件扩展名

<div class="post-text" itemprop="text"> <p>is there any GO library that convert mime type to file extension ?, I work on API that only give me mime type not the file format or even the file name</p> </div>

java过滤文件的内容

最近在遇到一个问题: 我通过java代码连接百度接口搜索内容代码如下: public static void main(String[] args) { // TODO Auto-generated method stub try { String key = "java"; //查询关键字 key = URLEncoder.encode(key, "gb2312"); URL u = new URL("http://www.baidu.com.cn/s?wd=" + key); URLConnection conn = u.openConnection(); BufferedReader reader = new BufferedReader(new InputStreamReader( conn.getInputStream(), "gb2312")); String str = reader.readLine(); while (str != null) { System.out.println(str); str = reader.readLine(); } reader.close(); } catch (Exception ex) { ex.printStackTrace(); } } 问题是:我搜到的内容我需要过滤,我只要在页面中的一条一条的内容,比如: 上面的代码搜索出来的内容: 1. java.com: Java 与您 立即下载适用于您的桌面计算机的 Java 软件! www.java.com/ 2011-4-21 - 百度快照 2.JAVA - 手机软件 适用机型:Java 赶集生活是由中国最大的本地生活信息门户赶集网(www.ganji.com)最新出品的一款永久免费的机 软件: 【主要功能】: 1、周边信息实时掌握:... soft.shouji.com.cn/sort/java.jsp 2011-8-25 - 百度快照 就这样,我只要这样的数据,并且还要再内容前面加上一个checkbox,方便我以后操作他们,我该怎么办? 各位帮忙看看!小弟很急,

大学四年自学走来,这些私藏的实用工具/学习网站我贡献出来了

大学四年,看课本是不可能一直看课本的了,对于学习,特别是自学,善于搜索网上的一些资源来辅助,还是非常有必要的,下面我就把这几年私藏的各种资源,网站贡献出来给你们。主要有:电子书搜索、实用工具、在线视频学习网站、非视频学习网站、软件下载、面试/求职必备网站。 注意:文中提到的所有资源,文末我都给你整理好了,你们只管拿去,如果觉得不错,转发、分享就是最大的支持了。 一、电子书搜索 对于大部分程序员...

在中国程序员是青春饭吗?

今年,我也32了 ,为了不给大家误导,咨询了猎头、圈内好友,以及年过35岁的几位老程序员……舍了老脸去揭人家伤疤……希望能给大家以帮助,记得帮我点赞哦。 目录: 你以为的人生 一次又一次的伤害 猎头界的真相 如何应对互联网行业的「中年危机」 一、你以为的人生 刚入行时,拿着傲人的工资,想着好好干,以为我们的人生是这样的: 等真到了那一天,你会发现,你的人生很可能是这样的: ...

Java基础知识面试题(2020最新版)

文章目录Java概述何为编程什么是Javajdk1.5之后的三大版本JVM、JRE和JDK的关系什么是跨平台性?原理是什么Java语言有哪些特点什么是字节码?采用字节码的最大好处是什么什么是Java程序的主类?应用程序和小程序的主类有何不同?Java应用程序与小程序之间有那些差别?Java和C++的区别Oracle JDK 和 OpenJDK 的对比基础语法数据类型Java有哪些数据类型switc...

我以为我学懂了数据结构,直到看了这个导图才发现,我错了

数据结构与算法思维导图

String s = new String(" a ") 到底产生几个对象?

老生常谈的一个梗,到2020了还在争论,你们一天天的,哎哎哎,我不是针对你一个,我是说在座的各位都是人才! 上图红色的这3个箭头,对于通过new产生一个字符串(”宜春”)时,会先去常量池中查找是否已经有了”宜春”对象,如果没有则在常量池中创建一个此字符串对象,然后堆中再创建一个常量池中此”宜春”对象的拷贝对象。 也就是说准确答案是产生了一个或两个对象,如果常量池中原来没有 ”宜春” ,就是两个。...

技术大佬:我去,你写的 switch 语句也太老土了吧

昨天早上通过远程的方式 review 了两名新来同事的代码,大部分代码都写得很漂亮,严谨的同时注释也很到位,这令我非常满意。但当我看到他们当中有一个人写的 switch 语句时,还是忍不住破口大骂:“我擦,小王,你丫写的 switch 语句也太老土了吧!” 来看看小王写的代码吧,看完不要骂我装逼啊。 private static String createPlayer(PlayerTypes p...

Linux面试题(2020最新版)

文章目录Linux 概述什么是LinuxUnix和Linux有什么区别?什么是 Linux 内核?Linux的基本组件是什么?Linux 的体系结构BASH和DOS之间的基本区别是什么?Linux 开机启动过程?Linux系统缺省的运行级别?Linux 使用的进程间通信方式?Linux 有哪些系统日志文件?Linux系统安装多个桌面环境有帮助吗?什么是交换空间?什么是root帐户什么是LILO?什...

Linux命令学习神器!命令看不懂直接给你解释!

大家都知道,Linux 系统有非常多的命令,而且每个命令又有非常多的用法,想要全部记住所有命令的所有用法,恐怕是一件不可能完成的任务。 一般情况下,我们学习一个命令时,要么直接百度去搜索它的用法,要么就直接用 man 命令去查看守冗长的帮助手册。这两个都可以实现我们的目标,但有没有更简便的方式呢? 答案是必须有的!今天给大家推荐一款有趣而实用学习神器 — kmdr,让你解锁 Linux 学习新姿势...

和黑客斗争的 6 天!

互联网公司工作,很难避免不和黑客们打交道,我呆过的两家互联网公司,几乎每月每天每分钟都有黑客在公司网站上扫描。有的是寻找 Sql 注入的缺口,有的是寻找线上服务器可能存在的漏洞,大部分都...

史上最全的 python 基础知识汇总篇,没有比这再全面的了,建议收藏

网友们有福了,小编终于把基础篇的内容全部涉略了一遍,这是一篇关于基础知识的汇总的文章,请朋友们收下,不用客气,不过文章篇幅肯能会有点长,耐心阅读吧爬虫(七十)多进程multiproces...

讲一个程序员如何副业月赚三万的真实故事

loonggg读完需要3分钟速读仅需 1 分钟大家好,我是你们的校长。我之前讲过,这年头,只要肯动脑,肯行动,程序员凭借自己的技术,赚钱的方式还是有很多种的。仅仅靠在公司出卖自己的劳动时...

女程序员,为什么比男程序员少???

昨天看到一档综艺节目,讨论了两个话题:(1)中国学生的数学成绩,平均下来看,会比国外好?为什么?(2)男生的数学成绩,平均下来看,会比女生好?为什么?同时,我又联想到了一个技术圈经常讨...

85后蒋凡:28岁实现财务自由、34岁成为阿里万亿电商帝国双掌门,他的人生底层逻辑是什么?...

蒋凡是何许人也? 2017年12月27日,在入职4年时间里,蒋凡开挂般坐上了淘宝总裁位置。 为此,时任阿里CEO张勇在任命书中力赞: 蒋凡加入阿里,始终保持创业者的冲劲,有敏锐的...

总结了 150 余个神奇网站,你不来瞅瞅吗?

原博客再更新,可能就没了,之后将持续更新本篇博客。

副业收入是我做程序媛的3倍,工作外的B面人生是怎样的?

提到“程序员”,多数人脑海里首先想到的大约是:为人木讷、薪水超高、工作枯燥…… 然而,当离开工作岗位,撕去层层标签,脱下“程序员”这身外套,有的人生动又有趣,马上展现出了完全不同的A/B面人生! 不论是简单的爱好,还是正经的副业,他们都干得同样出色。偶尔,还能和程序员的特质结合,产生奇妙的“化学反应”。 @Charlotte:平日素颜示人,周末美妆博主 大家都以为程序媛也个个不修边幅,但我们也许...

MySQL数据库面试题(2020最新版)

文章目录数据库基础知识为什么要使用数据库什么是SQL?什么是MySQL?数据库三大范式是什么mysql有关权限的表都有哪几个MySQL的binlog有有几种录入格式?分别有什么区别?数据类型mysql有哪些数据类型引擎MySQL存储引擎MyISAM与InnoDB区别MyISAM索引与InnoDB索引的区别?InnoDB引擎的4大特性存储引擎选择索引什么是索引?索引有哪些优缺点?索引使用场景(重点)...

新一代神器STM32CubeMonitor介绍、下载、安装和使用教程

关注、星标公众号,不错过精彩内容作者:黄工公众号:strongerHuang最近ST官网悄悄新上线了一款比较强大的工具:STM32CubeMonitor V1.0.0。经过我研究和使用之...

如果你是老板,你会不会踢了这样的员工?

有个好朋友ZS,是技术总监,昨天问我:“有一个老下属,跟了我很多年,做事勤勤恳恳,主动性也很好。但随着公司的发展,他的进步速度,跟不上团队的步伐了,有点...

我入职阿里后,才知道原来简历这么写

私下里,有不少读者问我:“二哥,如何才能写出一份专业的技术简历呢?我总感觉自己写的简历太烂了,所以投了无数份,都石沉大海了。”说实话,我自己好多年没有写过简历了,但我认识的一个同行,他在阿里,给我说了一些他当年写简历的方法论,我感觉太牛逼了,实在是忍不住,就分享了出来,希望能够帮助到你。 01、简历的本质 作为简历的撰写者,你必须要搞清楚一点,简历的本质是什么,它就是为了来销售你的价值主张的。往深...

大学一路走来,学习互联网全靠这几个网站,最终拿下了一把offer

大佬原来都是这样炼成的

离职半年了,老东家又发 offer,回不回?

有小伙伴问松哥这个问题,他在上海某公司,在离职了几个月后,前公司的领导联系到他,希望他能够返聘回去,他很纠结要不要回去? 俗话说好马不吃回头草,但是这个小伙伴既然感到纠结了,我觉得至少说明了两个问题:1.曾经的公司还不错;2.现在的日子也不是很如意。否则应该就不会纠结了。 老实说,松哥之前也有过类似的经历,今天就来和小伙伴们聊聊回头草到底吃不吃。 首先一个基本观点,就是离职了也没必要和老东家弄的苦...

为什么你不想学习?只想玩?人是如何一步一步废掉的

不知道是不是只有我这样子,还是你们也有过类似的经历。 上学的时候总有很多光辉历史,学年名列前茅,或者单科目大佬,但是虽然慢慢地长大了,你开始懈怠了,开始废掉了。。。 什么?你说不知道具体的情况是怎么样的? 我来告诉你: 你常常潜意识里或者心理觉得,自己真正的生活或者奋斗还没有开始。总是幻想着自己还拥有大把时间,还有无限的可能,自己还能逆风翻盘,只不是自己还没开始罢了,自己以后肯定会变得特别厉害...

什么时候跳槽,为什么离职,你想好了么?

都是出来打工的,多为自己着想

为什么程序员做外包会被瞧不起?

二哥,有个事想询问下您的意见,您觉得应届生值得去外包吗?公司虽然挺大的,中xx,但待遇感觉挺低,马上要报到,挺纠结的。

当HR压你价,说你只值7K,你该怎么回答?

当HR压你价,说你只值7K时,你可以流畅地回答,记住,是流畅,不能犹豫。 礼貌地说:“7K是吗?了解了。嗯~其实我对贵司的面试官印象很好。只不过,现在我的手头上已经有一份11K的offer。来面试,主要也是自己对贵司挺有兴趣的,所以过来看看……”(未完) 这段话主要是陪HR互诈的同时,从公司兴趣,公司职员印象上,都给予对方正面的肯定,既能提升HR的好感度,又能让谈判气氛融洽,为后面的发挥留足空间。...

面试阿里p7,被按在地上摩擦,鬼知道我经历了什么?

面试阿里p7被问到的问题(当时我只知道第一个):@Conditional是做什么的?@Conditional多个条件是什么逻辑关系?条件判断在什么时候执...

你期望月薪4万,出门右拐,不送,这几个点,你也就是个初级的水平

先来看几个问题通过注解的方式注入依赖对象,介绍一下你知道的几种方式@Autowired和@Resource有何区别说一下@Autowired查找候选者的...

面试了一个 31 岁程序员,让我有所触动,30岁以上的程序员该何去何从?

最近面试了一个31岁8年经验的程序猿,让我有点感慨,大龄程序猿该何去何从。

大三实习生,字节跳动面经分享,已拿Offer

说实话,自己的算法,我一个不会,太难了吧

程序员垃圾简历长什么样?

已经连续五年参加大厂校招、社招的技术面试工作,简历看的不下于万份 这篇文章会用实例告诉你,什么是差的程序员简历! 疫情快要结束了,各个公司也都开始春招了,作为即将红遍大江南北的新晋UP主,那当然要为小伙伴们做点事(手动狗头)。 就在公众号里公开征简历,义务帮大家看,并一一点评。《启舰:春招在即,义务帮大家看看简历吧》 一石激起千层浪,三天收到两百多封简历。 花光了两个星期的所有空闲时...

立即提问
相关内容推荐