29
4
我正在开发一种文档管理系统。最终用户是企业级用户。
我目前仅检查并允许上传符合以下条件之一的文件:
Trung tâm cá nhân
Điều phát hành
từ bỏ"png|jpe?g|gif|xls|doc|docx|csv|ppt|txt|pdf|rtf"
我的问题是 -
如果我将“xml”添加到列表中？它们会导致任何安全问题吗？
我还可以添加哪些其他文档类型/扩展名？
hoặc
我应该检查 NOT IN "exe|bat|php|js" 并允许所有其他类型吗？
感谢您的建议。
câu trả lời hay nhất
Should I check NOT IN "exe|bat|php|js" and allow all other types?
没有。白名单比黑名单更好。有很多很多比您可能了解的更危险的文件类型。这四个仅仅触及表面。
If I add "xml" into the list? can they cause any security issue?
是的，[X][HT]ML 可能包含在为其提供服务的站点的安全上下文中运行的脚本。这允许任何可以将文档上传到您网站的人将 JavaScript 注入(inject)您的网站(窃取 cookie、伪造请求等)。
但是...它实际上并没有添加任何您尚未遇到的安全问题。因为即使按文件类型/扩展名列入白名单也不安全，这要归功于 IE 及其错误的类型嗅探。您可以上传 .txt 文件，并使用 Content-Type: text/plain header 正确提供该文件，但如果它包含 IE 认为看起来像 HTML 的序列，则 IE会忽略你并将其呈现为 HTML — boom，XSS。
(实际上任何其他类型都是如此，但 .txt 是最容易受到攻击的。)
有两种方法可以解决这个问题:
将所有用户上传的文件从不同的主机名提供到主应用程序站点，以便它们位于不同的 JS 安全上下文中，并且不共享 cookie 或身份验证数据。
sử dụng Content-Disposition:attachment header 提供所有用户上传的文件，以便始终下载这些文件而不在浏览器中显示这些文件。
(2) 本身应该是无懈可击的，但在过去的实践中，由于浏览器和插件的利用，已经有一些方法可以绕过它，所以我不确定我是否会完全信任它。 (1) 其本身可以阻止 XSS，但它不能阻止其他令人讨厌的行为，例如包含 iframe 的 HTML 文件来利用网站。
所以最好两者都做。
关于php - 您允许文档管理应用程序使用哪些文件类型/扩展名？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/1560300/
29
4
0
我有一个 .crt 文件。打开那个文件，我看到它以开头 -----BEGIN CERTIFICATE----- 如何从这个文件生成这 2 个文件？: 以-----BEGIN CERTIFICATE R
我有一个文件被加载到 fd.ChosenName 并想知道是否有一个快速的解决方案，例如与 stringbuilder 相反的截断文件名(扩展名)以用于显示目的。因此，如果 fd.ChosenName
我的文件名如下:name1.csv，我想提取该字符串的两个子字符串。一种将 name1 存储在一个变量中，另一种将扩展名 csv 存储在另一个变量中，但不带点。 我一直在寻找是否有像 Java 的 i
我正在尝试找出一种方法来确定我在 struts2 应用程序中上传的文件的文件类型。我的应用程序可以读取 CSV 和 XML 文件并根据上传的文件类型执行操作。我将该文件作为“File”类的实例。该文件
如何使用 NLP/信息提取 (IE) 方法检测/找出首字母缩略词的含义(扩展名)？ 我们希望检测自由文本中是否使用了单词或其首字母缩略词，并将其映射到相同的实体/标记。 大多数在线论文都是关于医学缩略
我正在编写一个 shell 脚本，该脚本需要改变其行为，并根据特定 X11 扩展的存在或不存在为被调用程序提供不同的选项。我有一个可行的解决方案，但我希望有一个更干净的解决方案。我愿意考虑一个简单的
我要查找文件名的扩展名，扩展名只能是3个字符。 有点像， filename = str(input("Please enter filename: ")) 然后我想执行一个任务来查找扩展名，如果扩展名
我正在开发一种文档管理系统。最终用户是企业级用户。 我目前仅检查并允许上传符合以下条件之一的文件: "png|jpe?g|gif|xls|doc|docx|csv|ppt|txt|pdf|rtf" 我
尝试将文件列表添加到 Jlist，然后过滤 JList 中的文件以仅返回 .txt 文件和固定字符长度。还尝试删除返回的文件路径，并仅在文件 JList 中显示文件名+扩展名。 到目前为止，除了删除文
File.py file = fields.Binary('File') @api.multi def get_file(self): if self.file: xsl_fi
我尝试使用导航 Controller 使我的应用程序处于纵向模式我收到此错误 iam usring Xcode7 and Swift 2 And Target System IOS 9.3 声明仅在文
这个问题在这里已经有了答案: Test whether a glob has any matches in Bash (22 个回答) 关闭去年。 您将如何使用 bash 判断目录中是否存在特定扩展名
我正在开发转换器服务，我使用 FFMPEG 转换视频。 我想检查输入文件，哪种真的是视频。 我使用以下命令并获取文件类型。但是如果文件已经被操作过就无法理解了: curl -s -o /dev/nul
我需要一个规则来添加 .html 扩展名，只要有“不”结尾的斜杠。 一个新客户最近更改了电子商务脚本，新版本以不同的方式处理 SEO，并更改了他们所有 16,000 多个产品链接。这在站点被重新索引之
我正在尝试使用 Kickstarter 进行扩展以覆盖页面的正常呈现，并呈现 PDF 文件。为此我使用 FPDF。但我不确定该怎么做。我尝试这样做，但没有成功: AddPage();
在寻找巴恩斯利蕨分形的实现时，我遇到了一个具有 .pde 扩展名的实现。哪种编程语言使用此扩展？ Implementation Page 最佳答案 此代码来自Processing.org，一个基于Ja
Visual Studio Code (1.22.2) 提供了一个名为 .dockerfile 的文件扩展名。在保存对话框中。带有此扩展名的文件是什么？ Dockerfile 包含在所有文档和示例中，
我正在为32位计算机编译一个应用程序，因为该应用程序的创建者将其设置为64位。我确保所有库和DLL都是32位的。但是，我在编译时遇到问题。当我使用sh make.sh进行编译时，当它进入GCC构建部分
当我将文件保存在 img/upload 文件夹中时，文件会以正确的文件扩展名保存。 但是，当我尝试下载该文件时，会附加一个 .htm 文件扩展名。 我怎样才能避免这种情况？我在下面添加了我的代码； V
GHC 有几种有用的语言 extensions用于机械派生各种常见的 Haskell 类型类(-XDeriveFunctor、-XDeriveFoldable、-XDeriveTraversable)
Tôi là một lập trình viên xuất sắc, rất giỏi!