如何更好的判断系统上传文件是指定文件类型--文件魔术数字

桃扇骨 2022-08-20 14:29 121阅读 0赞

# 理论介绍 #

这里所说的表示不同文件类型的魔术数字，指定是文件的最开头的几个用于唯一区别其它文件类型的字节，有了这些魔术数字，我们就可以很方便的区别不同的文件，这也使得编程变得更加容易，因为我减少了我们用于区别一个文件的文件类型所要花费的时间。  
比如，一个JPEG文件，它开头的一些字节可能是类似这样的”ffd8 ffe0 0010 4a46 4946 0001 0101 0047 ……JFIF…..G“，这里”ffd8“就表示了这个文件是一个JPEG类型的文件，”ffe0“表示这是JFIF类型结构。  
以下例出的是一些我们常见的文件类型，以及它用于判断这种文件的类型的几个开始字节及所对尖的ASCII数字：

## 图片文件 ##

<table> 
 <thead> 
  <tr> 
   <th>文件类型</th> 
   <th>扩展名</th> 
   <th>16进制数字，xx这里表示变量</th> 
   <th>Ascii数字 . = 不是Ascii字符</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>Bitmap format</td> 
   <td>.bmp</td> 
   <td>42 4d</td> 
   <td>BM</td> 
  </tr> 
  <tr> 
   <td>FITS format</td> 
   <td>.fits</td> 
   <td>53 49 4d 50 4c 45</td> 
   <td>SIMPLE</td> 
  </tr> 
  <tr> 
   <td>GIF format</td> 
   <td>.gif</td> 
   <td>47 49 46 38</td> 
   <td>GIF8</td> 
  </tr> 
  <tr> 
   <td>Graphics Kernel System</td> 
   <td>.gks</td> 
   <td>47 4b 53 4d</td> 
   <td>GKSM</td> 
  </tr> 
  <tr> 
   <td>IRIS rgb format</td> 
   <td>.rgb</td> 
   <td>01 da</td> 
   <td>..</td> 
  </tr> 
  <tr> 
   <td>ITC (CMU WM) format</td> 
   <td>.itc</td> 
   <td>f1 00 40 bb</td> 
   <td>….</td> 
  </tr> 
  <tr> 
   <td>JPEG File Interchange Format</td> 
   <td>.jpg</td> 
   <td>ff d8 ff e0</td> 
   <td>….</td> 
  </tr> 
  <tr> 
   <td>NIFF (Navy TIFF)</td> 
   <td>.nif</td> 
   <td>49 49 4e 31</td> 
   <td>IIN1</td> 
  </tr> 
  <tr> 
   <td>PM format</td> 
   <td>.pm</td> 
   <td>56 49 45 57</td> 
   <td>VIEW</td> 
  </tr> 
  <tr> 
   <td>PNG format</td> 
   <td>.png</td> 
   <td>89 50 4e 47</td> 
   <td>.PNG</td> 
  </tr> 
  <tr> 
   <td>Postscript format</td> 
   <td>.[e]ps</td> 
   <td>25 21</td> 
   <td>%!</td> 
  </tr> 
  <tr> 
   <td>Sun Rasterfile</td> 
   <td>.ras</td> 
   <td>59 a6 6a 95</td> 
   <td>Y.j.</td> 
  </tr> 
  <tr> 
   <td>Targa format</td> 
   <td>.tga</td> 
   <td>xx xx xx</td> 
   <td>…</td> 
  </tr> 
  <tr> 
   <td>TIFF format (Motorola – big endian)</td> 
   <td>.tif</td> 
   <td>4d 4d 00 2a</td> 
   <td>MM.*</td> 
  </tr> 
  <tr> 
   <td>TIFF format (Intel – little endian)</td> 
   <td>.tif</td> 
   <td>49 49 2a 00</td> 
   <td>II*.</td> 
  </tr> 
  <tr> 
   <td>X11 Bitmap format</td> 
   <td>.xbm</td> 
   <td>xx xx</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>XCF Gimp file structure</td> 
   <td>.xcf</td> 
   <td>67 69 6d 70 20 78 63 66 20 76</td> 
   <td>gimp xcf</td> 
  </tr> 
  <tr> 
   <td>Xfig format</td> 
   <td>.fig</td> 
   <td>23 46 49 47</td> 
   <td>#FIG</td> 
  </tr> 
  <tr> 
   <td>XPM format</td> 
   <td>.xpm</td> 
   <td>2f 2a 20 58 50 4d 20 2a 2f</td> 
   <td>/* XPM */</td> 
  </tr> 
 </tbody> 
</table>

## 压缩文件 ##

<table> 
 <thead> 
  <tr> 
   <th>文件类型</th> 
   <th>扩展名</th> 
   <th>16进制数字 xx这里表示变量</th> 
   <th>Ascii数字. = 不是Ascii字符</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>Bzip</td> 
   <td>.bz</td> 
   <td>42 5a</td> 
   <td>BZ</td> 
  </tr> 
  <tr> 
   <td>Compress</td> 
   <td>.Z</td> 
   <td>1f 9d</td> 
   <td>..</td> 
  </tr> 
  <tr> 
   <td>gzip format</td> 
   <td>.gz</td> 
   <td>1f 8b</td> 
   <td>..</td> 
  </tr> 
  <tr> 
   <td>pkzip format</td> 
   <td>.zip</td> 
   <td>50 4b 03 04</td> 
   <td>PK..</td> 
  </tr> 
 </tbody> 
</table>

## 存档文件 ##

<table> 
 <thead> 
  <tr> 
   <th>文件类型</th> 
   <th>扩展名</th> 
   <th>16进制数字xx这里表示变量</th> 
   <th>Ascii数字. = 不是Ascii字符</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>TAR (pre-POSIX)</td> 
   <td>.tar</td> 
   <td>xx xx</td> 
   <td>(a filename)</td> 
  </tr> 
  <tr> 
   <td>TAR (POSIX)</td> 
   <td>.tar</td> 
   <td>75 73 74 61 72</td> 
   <td>ustar (offset by 257 bytes)</td> 
  </tr> 
 </tbody> 
</table>

## 可执行文件 ##

<table> 
 <thead> 
  <tr> 
   <th>文件类型</th> 
   <th>扩展名</th> 
   <th>16进制数字xx这里表示变量</th> 
   <th>Ascii数字. = 不是Ascii字符</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>MS-DOS, OS/2 or MS Windows</td> 
   <td></td> 
   <td>4d 5a</td> 
   <td>MZ</td> 
  </tr> 
  <tr> 
   <td>Unix elf</td> 
   <td></td> 
   <td>7f 45 4c 46</td> 
   <td>.ELF</td> 
  </tr> 
 </tbody> 
</table>

## 其它文件 ##

<table> 
 <thead> 
  <tr> 
   <th>文件类型</th> 
   <th>扩展名</th> 
   <th>16进制数字xx这里表示变量</th> 
   <th>Ascii数字. = 不是Ascii字符</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>pgp public ring</td> 
   <td></td> 
   <td>99 00</td> 
   <td>..</td> 
  </tr> 
  <tr> 
   <td>pgp security ring</td> 
   <td></td> 
   <td>95 01</td> 
   <td>..</td> 
  </tr> 
  <tr> 
   <td>pgp security ring</td> 
   <td></td> 
   <td>95 00</td> 
   <td>..</td> 
  </tr> 
  <tr> 
   <td>pgp encrypted data</td> 
   <td></td> 
   <td>a6 00</td> 
   <td>¦.</td> 
  </tr> 
 </tbody> 
</table>

# java实现（图片类型判断） #

## 使用魔术数字判断 ##

import java.io.File;  
    import java.io.FileInputStream;  
    import java.io.IOException;  
    import java.io.InputStream;  
    
    public class ImageTypeCheck {   
    
        public static String bytesToHexString(byte[] src) {  
            StringBuilder stringBuilder = new StringBuilder();  
            if (src == null || src.length <= 0) {  
                return null;  
            }  
            for (int i = 0; i < src.length; i++) {  
                // byte转int
                int v = src[i] & 0xFF;  
                String hv = Integer.toHexString(v);  
                if (hv.length() < 2) {  
                    stringBuilder.append(0);  
                }  
                stringBuilder.append(hv);  
            }  
            return stringBuilder.toString();  
        }  
        public static void main(String[] args) throws IOException {  
            String imagePath = "c:/favicon.png";  
            File image = new File(imagePath);  
            InputStream is = new FileInputStream(image);  
            byte[] bt = new byte[2];  
            is.read(bt);  
            System.out.println(bytesToHexString(bt));  
        }  
    }

## 使用图片长宽判断 ##

如果能够正常的获取到一张图片的宽高属性，那肯定这是一张图片，因为非图片文件我们是获取不到它的宽高属性的，以下是用于获取根据是否可以获取到图片宽高属性来判断这是否一张图片的JAVA代码：

/** * 通过读取文件并获取其width及height的方式，来判断判断当前文件是否图片，这是一种非常简单的方式。 * * @param imageFile * @return */  
    public static boolean isImage(File imageFile) {  
        if (!imageFile.exists()) {  
            return false;  
        }  
        Image img = null;  
        try {  
            img = ImageIO.read(imageFile);  
            if (img == null || img.getWidth(null) <= 0 || img.getHeight(null) <= 0) {  
                return false;  
            }  
            return true;  
        } catch (Exception e) {  
            return false;  
        } finally {  
            img = null;  
        }  
    }

好了，我们终于判断出一个文件是否图片了，可是如果是在一个可以正常浏览的图片文件中加入一些非法的代码呢：  
![20131122084009421][]  
这就是在一张正常的图片末尾增加的一些iframe代码，我曾经尝试过单独打开这张图片，也将这张图片放于网页上打开，虽然这样都不会被执行，但并不代表插入其它的代码也并不会执行，杀毒软件（如AVAST）对这种修改是会报为病毒的。  
那我们要如何预防这种东西，即可以正常打开，又具有正确的图片文件扩展名，还可以获取到它的宽高属性？呵，我们这个时候可以对这个图片进地重写，给它增加水印或者对它进行resize操作，这样新生成的图片就不会再包含这样的恶意代码了，以下是一个增加水印的JAVA实现：

## 增加水印的JAVA实现 ##

/** * 添加图片水印 * * @param srcImg 目标图片路径，如：C:\\kutuku.jpg * @param waterImg 水印图片路径，如：C:\\kutuku.png * @param x 水印图片距离目标图片左侧的偏移量，如果x<0, 则在正中间 * @param y 水印图片距离目标图片上侧的偏移量，如果y<0, 则在正中间 * @param alpha 透明度(0.0 -- 1.0, 0.0为完全透明，1.0为完全不透明) * @throws IOException */  
        public final static void addWaterMark(String srcImg, String waterImg, int x, int y, float alpha) throws IOException {  
            // 加载目标图片 
            File file = new File(srcImg);  
            String ext = srcImg.substring(srcImg.lastIndexOf(".") + 1);  
            Image image = ImageIO.read(file);  
            int width = image.getWidth(null);  
            int height = image.getHeight(null);  
    
            // 将目标图片加载到内存。 
            BufferedImage bufferedImage = new BufferedImage(width, height, BufferedImage.TYPE_INT_RGB);  
            Graphics2D g = bufferedImage.createGraphics();  
            g.drawImage(image, 0, 0, width, height, null);  
    
            // 加载水印图片。 
            Image waterImage = ImageIO.read(new File(waterImg));  
            int width_1 = waterImage.getWidth(null);  
            int height_1 = waterImage.getHeight(null);  
            // 设置水印图片的透明度。 
            g.setComposite(AlphaComposite.getInstance(AlphaComposite.SRC_ATOP, alpha));  
    
            // 设置水印图片的位置。 
            int widthDiff = width - width_1;  
            int heightDiff = height - height_1;  
            if (x < 0) {  
                x = widthDiff / 2;  
            } else if (x > widthDiff) {  
                x = widthDiff;  
            }  
            if (y < 0) {  
                y = heightDiff / 2;  
            } else if (y > heightDiff) {  
                y = heightDiff;  
            }  
    
            // 将水印图片“画”在原有的图片的制定位置。 
            g.drawImage(waterImage, x, y, width_1, height_1, null);  
            // 关闭画笔。 
            g.dispose();  
    
            // 保存目标图片。 
            ImageIO.write(bufferedImage, ext, file);  
        }

整理参考：  
[http://blog.csdn.net/fenglibing/article/details/7733496][http_blog.csdn.net_fenglibing_article_details_7733496]  
[http://blog.csdn.net/fenglibing/article/details/7728275][http_blog.csdn.net_fenglibing_article_details_7728275]

[20131122084009421]: /images/20220731/6f8e91702b624cf59b423d39979a8a46.png
[http_blog.csdn.net_fenglibing_article_details_7733496]: http://blog.csdn.net/fenglibing/article/details/7733496
[http_blog.csdn.net_fenglibing_article_details_7728275]: http://blog.csdn.net/fenglibing/article/details/7728275