Cache une image dans un fichier PHP pour empêcher le hotlink

                               

                            
<?php
/*---------------------------------------------------------------*/
/*
    Titre : Cache une image dans un fichier PHP pour emp&ecirc;cher le hotlink                                            
                                                                                                                          
    URL   : https://phpsources.net/code_s.php?id=659
    Auteur           : lovenunu                                                                                           
    Date édition     : 18 Juil 2012                                                                                       
    Date mise à jour : 23 Aout 2019                                                                                      
    Rapport de la maj:                                                                                                    
    - fonctionnement du code vérifié                                                                                    
    - maintenance du code                                                                                                 
*/
/*---------------------------------------------------------------*/

/*****************************************************/
/* 
Démonstration de l'encodage d'une image
dans un fichier php, et de son affichage.

!!Je ne me suis pas renseignées sur les possibilités des htaccess dans ce
 domaine.!!

Pour la petite histoire, je travaille en ce moment avec une photographe qui a
 besoin de "Galeries privées" sur son site.
Ma problématique a été la suivante: comment garder des images complètement
 inaccessibles du grand public ?
Car même si on upload notre photo dans une suite de dossiers aux noms plus
 bizarres les uns que les autres,
un pirate lambda peut la retrouver, surtout si il arrive à s'introduire dans la
 base de données, et que l'adresse de ladite photo
est stockée dans cette base de données.

Le but de ce script est de pouvoir héberger des images, sans avoir le fichier
 image d'origine,
et donc de pouvoir bloquer les tentatives d'accès directe à l'image.

Ici, j'ai inclue une image libre de droit pour le teste,
Le but de ce script étant de le faire avec des images fraichement uploadées
 sur
 votre serveur.
*/

// Nos 3 variables d'entrée: $input est l'adresse de l'image, $output l'adresse
// du php, et $format le format de l'image
$input = "votreimage.jpg";
$output = "./images/screen.php";
$format = "jpg";

// Déclaration des constantes pour passer les checks
define("IN",TRUE);
define("LOGIN", "MyLogin"); // Login du membre
define("ID", 23); // Id du membre

// On créé images si le dossier n'existe pas
if(!is_dir("images"))
    mkdir("images");

// Classe security, regroupe toutes les fonctions liées à la sécurisation de
// fihiers/flux
class security {

    // Simplification de l'écriture d'un fichier
    public function write_file($file, $text) {
        file_exists($file) ? unlink($file): $ret=1; 
// Si le fichier existes, on le supprime
        $file = fopen($file, 'a'); 
// On ouvre le nouveau fichier en mode a: écriture seule, ce mode créé le
// fichier automatiquement si il n'existe pas
        fputs($file, $text); // On inscrit notre texte dans le ficheir
        fclose($file); // Et on le ferme
        return TRUE;
    }
    
    /* 
    Là, c'est la partie amusante ! :)
    Le but est d'afficher une image, sans que l'utilisateur n'ait accès au
 fichier
 original,
    pour ça, il n'y a pas dix-milles chemins, mon but est que l'image n'existe
 pas.
    Pour cela, il va falloir générer deux php, un servant à contenir l'image
 sous
 une forme lisible pour un humain,
    j'ai choisi d'enregistre chaque octet par son équivalent ascii hexadecimal.
    L'autre php sert afficher à afficher pour l'image.
    Le contenant recréé l'image à partir de l'encodage, en ajoutant la
 signature.
    Ensuite, il génére l'afficheur en fonction du nom généré, et appelle
 l'afficheur
    avec la balise html <img />.
    L'afficheur quand à lui utilise la librairie GD pour devenir une image png,
    composée uniquement de notre image d'origine, puis supprime instantanement
 l'image, pour que
    l'utilisateur ne puisse pas y avoir accès.
    */
    public function encode_file($file, $goto, $format) {
        $f = fopen($file, 'rb'); // On ouvre le fichier en lecture binaire
        $r = fread($f, filesize($file)); // On le lit entièrement 
        $hr=""; // On créé notre buffer
        $z = strlen($r);
        
// La boucle nous permet de stocker l'encodage décimal de chaque caractère
// ascii
// avec le séparateur
        // -
        for($i=0;$i<$z;$i++)
            $hr .= sprintf("%02X",ord($r{$i}));
        
        
// Si le dossier de destination de l'afficheur n'existe pas, on le créé.
        if(!is_dir("./images/".LOGIN)) {
            mkdir("./images/".LOGIN);
        }
        
        
// Ici, la variable $addr prend au fur et à mesure la valeur de notre
// contenant
        // Tests de sécurité, pour éviter les appels directs
        $addr=
'<?php if(defined("IN") AND defined("ID") AND defined("LOGIN")) { ';
        
        
// On définie la variable $value_image qui contiens l'encodage de l'image
        $addr.='$value_image="'.$hr.'"; ';
        
        // la variable $format contiens le format png ou jpg de l'image
        $addr.='$format=".'.$format.'";';
        
        // On génére le nom de l'image
        $addr .='$gen=md5(rand(0,10000000).rand(0, 100000000));';
        
        // On donne à $fil l'adresse de l'image avec l'extension
        $addr.='$fil="./images/'.LOGIN.'/".$gen.$format;';
        
        
// On initialise $buf et on prend la longueur de $value_image pour définir la
// fin de la boucle
        $addr.='$nb=strlen($value_image); $buf="";';
        
        /* Boucle de réencodage de l'image
         à chaque loop, on prend un octet ( soit, deux termes hexadécimaux )
         On passe de la valeur hexa à la valeur décimale pour pouvoir utilier
 chr, qui
 est la réciproque de ord, et donc fonctionne avec
         des valeurs décimales. 
        */
        $addr.='for($i=0; $i<$nb;$i+=2) {';
        $addr.='$buf .= chr(hexdec(substr($value_image, $i, 2)));';
        
        
// Fin de la boucle, ajout de la signature et création du fichier image
// d'origine
        $addr.='} $buf.="Powered By BPImgHide"; $s->write_file($fil, $buf);';
        
        // $oh contient l'adresse de l'afficheur
        $addr.='$oh="./images/".LOGIN."/".LOGIN.".php";';
        
        
// Fonction à utiliser pour l'afficheur, on doit différencier la fonction pour
// jpeg et png 
        $addr.=
'$imgcreate = ($format == ".jpg") ? "imagecreatefromjpeg":"imagecreatefrompng";'

;
        
        /* Valeur de l'afficheur
         On déclare le Content-Type en image/png pour que php soit concidéré
 par le
 navigateur comme une image
         Ensuite, on donne à notre php/image la valeur de l'image à cacher
         Et on supprime l'image d'origine
        */
        $addr.=stripslashes(
'$addr=\'<?php if(file_exists("\'.$gen.$format.\'")) { header("Content-type:' .
' image/png"); $image = \'.$imgcreate.\'("\'.$gen.$format.\'"); imagepng($imag' 
.
'e); unlink("\'.$gen.$format.\'"); } ?>\';');
        
        // On inscrit l'afficheur dans son fichier
        $addr.='$s->write_file($oh, $addr);';
        
        // Et on l'appelle
        $addr.=stripslashes('print "<img src=\'\".$oh.\"\' alt=\'image\' />";');
        
        // Fin
        $addr.='} ?>';
        
        // Si l'écriteur du contenant est bonne, on retourne juste, sinon faux.
        if($this->write_file($goto, $addr))
            return TRUE;
        else
            return FALSE;
    }

}

    // On créé un nouvel objet security
    $s = new security();

    // On encode l'image et on la supprime
    if(file_exists($input)) {
    // On appelle la méthode encode_file qui va générer notre php
    $s->encode_file($input, $output, $format);
    // Puis on supprime l'image original
    unlink($input);
    }
?>

<html>
    <head>
        <title> Test de l'encodage </title>
        <meta http-equiv="Content-Type" content="text/html; charset=iso-8559-1"
 />
    </head>
    
    <body>
    <h2> Mon image cachée </h2>
    <?php include($output); ?>
    </body>
</html>