我运行一个博客，我或我的用户在某个主题上发布的每个外部图像都直接导入我的网络服务器（在图像文件夹中）。
这个“图像”文件夹是 chmod 到 755，但是其中的所有文件 (.jpg/png/jpeg/gif) 都会自动 chmod 到 644。
在这种情况下，如果用户发布包含 php 脚本或恶意代码的“受感染”图像，他们是否被 chmod 644 阻止，或者当黑客打开 url mysite 时仍有可能执行代码。 com/images/infectedfile.png ?
感谢您的帮助
【问题讨论】：
有趣的问题。恶意文件最终出现在您的图像文件夹中有两个问题：
我不相信您的解决方案会以任何方式完成。考虑当用户访问带有恶意图像的帖子时会发生什么。不幸的用户可能会被恶意代码感染。幸运的用户将拥有一个反恶意软件产品，该产品将检测到这一点并阻止页面或图像被加载。
幸运用户对您来说是不幸的，因为这意味着您在该用户中的声誉受损，他们可能不会回来。更糟糕的是，如果用户报告您的博客，例如通过Google Safe Browsing 提供恶意文件，您可以在阻止列表中找到自己。这意味着您网站的流量几乎为零。
我强烈建议采用分层方法来解决此问题。我会寻找一种技术，允许您在上传文件时对其进行扫描，或者至少确认它们不是恶意的。其次，我会研究一种解决方案，该解决方案可以扫描您从 Web 服务器提供的文件。
可以理解的是，在现代解决方案中，您不一定拥有 Web 服务器的操作系统，因此无法部署传统的反恶意软件产品，这会变得更加困难。有一些选项可以在文件通过 API 传递到您的环境时进行查找，Virus Total 和 Sophos Intelix 是几个示例，但我相信还有更多。
【讨论】：
您应该在您的网络服务器软件中配置您的图像文件夹，使其不提供文件，除非它们以您允许的确切文件类型（例如 .jpg、.png、.gif）结尾，并且不对它们运行 PHP 进程。您还应确保始终使用这些文件类型的正确 mime 类型，因此 image/jpeg 用于 .jpg，image/png 用于 .png，image/gif 用于 .gif。
如果配置了这两件事，即使有人上传了例如如果 .jpg 文件实际上包含恶意内容，浏览器会尝试将其加载为 JPEG 图像，但由于无效而失败。浏览器有时会出现错误，这意味着特别损坏的图像文件可能会导致浏览器执行不应该执行的操作。
【讨论】：