extensiones de imagen que sean seguras

[flashtrix]

tengo un inconveniente, el cual es que tengo un formulario en el que suben y envían una imagen en los formatos de imagen al servidor

mi código verifica que sean imagenes, incluso en formulario valida que sean con la extensión especifica (jpg, gif, png)

pero existen personas inescrupulosas que envían archivos "camuflados" en .dat. exe o bat u otra extensión la cual transforman no se como en una imagen pero esta no es na imagen en si si no un archivo de estos la cual engañan al script.. he intentado colocarlo en el php que ejecuta luego todo.. pero no me sale no se como hacerlo, pensé ir jugando con el peso de la imagen la cual las imágenes pesan considerablemente comparándolas con estos ficheros... PERO NO ME RESULTA, posteo la parte del código que uso....

Código PHP:

  $tamanomax=100; 
if ($_POST["action"] == "upload") { 
    // obtenemos los datos del archivo 
    $tamano = $_FILES["archivo"]['size']; 
    $tipo = $_FILES["archivo"]['type']; 
    $archivo = $_FILES["archivo"]['name']; 
    $prefijo = substr(md5(uniqid(rand())),0,6); 
    
   if ($archivo != "" || $tipo == "image/gif" || $tipo == "image/jpeg" || $tipo == "image/jpg" || $tamano >= $tamanomax){ 
        // guardamos el archivo a la carpeta files 
        $destino =  "files/".$prefijo."_".$archivo; 
        if (copy($_FILES['archivo']['tmp_name'],$destino)) { 
           echo "<b>Envio Exitoso,</b><br><br>Estamos procesando su información,<br>Le enviaremos a su cuenta de correo:<br><b>$_POST[email],</b><br>todo el procedimiento a seguir.<br>No olvide revisar su buzón de Correo no deseado o spam <br>si nota que el mensaje no le llega instantaneamente.<br><br><a href=index.html target=_parent>Regresar</a>"; 
 //============================================================================= 
$consulta="Insert into $tabla values ('$id','$nombres','$tipoidentificacion','$identificacion','$telefono','$email','$consignacion' ,'$destino','$clave','$estado','$fecha','$boundary','$ip','$consecutivo')"; 
$resultado=mysql_query($consulta); 
if($resultado==0){mysql_close(); 
exit; 
 }else{ 
       $status = "Solo se permiten archivos de imagen (jpg o gif)"; 
        } 
    } else { 
        $status = "Error al subir archivo"; 
    } 
}  
   

espero me ayuden.... POSDATA mi Nivel php es Muy Básico

[pateketrueke]

pero existen personas inescrupulosas que envían archivos "camuflados" en .dat. exe o bat u otra extensión la cual transforman no se como en una imagen pero esta no es na imagen en si si no un archivo de estos la cual engañan al script

Es un temor infundado.

Ningún archivo se ejecuta por sí mismo, jamás.

Para que un archivo así como mencionas pueda hacer daño en tu sistema tienes que ejecutarlo, mientras no hagas eso es totalmente inofensivo.

Es como el cuchillo de la cocina, si alguien lo quiere usar para hacer daño lo hará, pero por si mismo no es una amenaza.

¿Tienes pensado ejecutar como código PHP todo lo que subas?

[AlejandraLara]

Me recuerdas a mi, soy una paranoica de la seguridad, a veces siento que exagero pero sinceramente es mejor ser precavida, una vez me dio pánico colocar la opción de subir archivos así que coloque mejor una opción de imagen externa y le valide el protocolo, la extensión y límité a dos servidores la URL. Igual tu podrías hacer algo similar, válida la extensión, el peso, el contenido y usa htaccess para delimitar los archivos en la carpeta donde subas el archivo.

[Alexis88]

Necesitas obtener el tipo MIME del archivo, para lo cual puedes hacer uso de la clase FileInfo.

Un saludo

[flashtrix]

Es cierto ningun archivo por si solo cobraria vida y si hay que ser precavido jejeje solo que muchas veces suben mucha basura y me gustaria que lo dejaran de hacer como hago eso del mime y como logro que me funcione mi codigo para que esos archivos que se monten sean en verdad imagenes

[Alexis88]

Iniciado por flashtrix

[...]como hago eso del mime[...]

Ingresa al enlace que te dejé. En el ejemplo que se muestra, en lugar de $filename, coloca el nombre temporal o tmp_name. El utilizar un bucle, es opcional. Si se trata de validar varios archivos, entonces, sí te conviene usarlo.

Un saludo