Lassen Sie uns nun darüber sprechen, wie Sie Ihre Website vor Schwachstellen beim Hochladen von Dateien schützen können.
Die wichtigste Sache, die zu beachten ist, ist, dass niemals Personen ausführbare Dateien hochladen dürfen.
Es sollte nicht erforderlich sein, dass Personen tatsächlich ausführbare Dateien hochladen können.
Also Sachen wie BHB durch Skripte ausführbare Dateien wie x com all diese Dateien.
Sie sollten niemals zulassen, dass Benutzer sie hochladen, da die Möglichkeit besteht, dass diese Dateien Ihren
Server beschädigen können.
Zweitens müssen Sie überprüfen, ob der Dateityp das ist, was Sie erwarten.
Und überprüfen Sie gleichzeitig die Erweiterung.
Wenn wir also unsere Tests sehen und einchecken, ist die Sicherheitsstufe niedrig. Offensichtlich gab
es keine Prüfungen.
Die mittlere Sicherheitsstufe war nur für den Dateityp und die hohe
Sicherheitsstufe für die Erweiterung auf der.
Sie möchten also niemals ausführbare Dateien zulassen.
Stellen Sie sicher, dass die hochgeladene Datei Ihren Erwartungen entspricht.
Wenn Sie also ein Bild hochladen, stellen Sie sicher, dass der
Dateityp ein Bild auf dem anderen ist und die Erweiterung eine Bilderweiterung ist.
Sobald Sie diese beiden Überprüfungen durchgeführt haben, stellen Sie sicher, dass Sie die hochgeladenen Dateien neu erstellen, um zu überprüfen, ob es
sich bei der Datei um ein Bild handelt und ob die Erweiterung eine Bilderweiterung ist.
Analysieren Sie dann die Dateiverwendung in einer Art Bibliothek, und richten Sie sich dabei nach der Sprache, die Sie
auf Ihrem Server verwenden.
Vergewissern Sie sich, dass Sie diese Datei in einer Bibliothek hinterlegt haben, analysieren Sie deren Inhalt und erstellen Sie die
Datei entsprechend Ihrer Website neu.
Jetzt ist dies ohnehin ein guter Schritt, denn da Sie dies auf Ihrer
Website anzeigen, möchten Sie sicherstellen, dass die Bilder zu groß sind und für Webanwendungen optimiert sind.
Es ist also gut, dass Ihre Website schneller läuft.
Es ist auch eine gute Sache, sicherzustellen, dass dieses Bild tatsächlich ein Bild ist und keine
schädlichen Dateien.
Schauen wir uns jetzt den Quellcode an. Ich weiß, ich sage immer, wir machen Blackbox-Tests, aber wir sprechen
jetzt über die Sicherheit. Sie müssen also den Quellcode sehen, um zu sehen, wie
Sie ihn sichern können.
Ich werde also nur die Sicherheitsstufe auf "mittel" setzen, weil das Tief nichts wirklich überprüft.
Also gehen wir erstmal mit dem Medium und wir werden den Upload hochladen. Ich
werde die Quelle ansehen.
Wie Sie jetzt in den Medien sehen können, ist es nur ein Hühnchen, wenn der hochgeladene Dateityp jetzt ein Bild ist. Ich möchte
nicht zu viele Details über das Kodieren erfahren, da dies kein Kodierungskurs ist.
Wir reden nur darüber, wie Sie sich schützen und über Penetrationstests.
Also muss ich den Sicherheitsteil abdecken.
Wir sprechen also über die Konzepte, aber nicht über den eigentlichen Code, den Sie verwenden müssen, da
Sie möglicherweise eine andere Programmiersprache verwenden.
So und hier benutzen sie Ph. D. Sie haben nur
eine einfache IF-Anweisung und prüfen, ob das Bild ein hochgeladener Dateityp ist.
Wir sehen also, wie wir dies einfach umgehen können, indem wir ein Image hochladen und dann die Erweiterung
ändern, indem wir unsere Shell in GBG umbenennen, die hochgeladen wird. Diese wird als Image akzeptiert und wir
werden sie einfach umbenennen, sobald sie in die BHB-Datei hochgeladen wurde .
Wenn wir dies nun auf eine hohe Sicherheitsstufe setzen und zum
Upload zurückkehren und einen Blick auf den Quellcode werfen, können Sie sehen, dass das, was sie hier tun, überprüft,
ob die Erweiterung GBG oder AJP e ist. G..
Und dann kannst du das Bild hochladen.
Sie suchen diesmal also nicht nach dem Dateityp.
Wie gesagt, müssen Sie jetzt nach beiden Versionen und den neuen DVD-Versionen suchen, die Sie gegessen haben und tatsächlich eine
zusätzliche Sicherheitseinstellung haben, die als "unmöglich" bezeichnet wird.
Und es zeigt im Grunde nur die richtige Implementierung jeder dieser Seiten.
Es ist also eigentlich nicht möglich, wenn es der richtige Weg ist.
Die DVD, eine Version, die bei mir zum Ausnutzen eines Testaments mitgeliefert wird, hat diese Sicherheitseinstellung nicht.
Aber wir brauchen es sowieso nicht.
Wir müssen nur den Code sehen.
Also haben wir es hier aufstehen.
Der richtige Weg, dies zu implementieren, ist die gleiche if-Anweisung.
Im Grunde prüfen sie die Erweiterung.
Es handelt sich dabei um eine Bilderweiterung mit einem JEG oder GBG oder PND.
Das ist also alles gut.
Also muss es eines dieser Dinge sein und es muss ein Bildtyp sein, also muss es vom Typ Image Daypack oder Image
BNZ sein und es hört nicht auf, dass die Größen tatsächlich geprüft werden.
Aber das ist in Ordnung.
Was macht das, worüber ich gesprochen habe, im Bild selbst neu erstellt wird?
Was sie tun, ist, dass sie die Metadaten des Bildes entfernen und eine Bibliothek verwenden.
Eigentlich werden sie nicht in dieser Bibliothek verwendet, aber Sie sollten diese Bibliothek verwenden, die als THP-Magie bezeichnet
wird, oder was auch immer dort ist, dass es ähnliche Bibliotheken für Python und Ruby und all das gibt.
Grundsätzlich erstellen sie ein anderes Bild aus dem hochgeladenen Bild, sobald sie das
alte Bild tatsächlich löschen und zerstören. Das neue Bild wird mit einem neuen Namen verwendet, sodass ein neues Bild
aus dem alten Bild erstellt wird.
Sie benennen es um und dann verwenden Sie dieses Bild.
Dies sind drei Dinge, die Sie prüfen müssen, ob die Dateierweiterung überprüft wird. Erstellen Sie
das Image auf diese Weise neu. Selbst wenn eine Person versucht, eine fehlerhafte Datei oder eine schädliche Datei hochzuladen, können Sie
Ihre Webanwendung und Ihr System schützen Server aus dieser Datei.
Selbst wenn es ihnen gelingt, die Datei hochzuladen, wird die Datei durch den Erstellungsprozess zerstört.