Ahora hablemos sobre cómo puede proteger su sitio web de las vulnerabilidades de carga de archivos.
Lo principal a tener en cuenta es que nunca permita que las personas carguen ejecutables.
No debería ser necesario que permitas que las personas carguen ejecutables realmente.
Así que cosas como BHB por scripts ejecutables como x com todos estos archivos.
Nunca debe permitir que las personas los suban porque existe una alta posibilidad de que estos archivos
puedan dañar su servidor.
La segunda cosa es que debe verificar que el tipo de archivo es lo que desea es lo que espera.
Y verifique la extensión al mismo tiempo.
Entonces, cuando vemos y cuando nos registramos con nuestras pruebas y los videos anteriores muestran el bajo nivel de
seguridad, obviamente no hubo controles.
El nivel de seguridad medio allí se registró solo para el tipo de archivo y el alto nivel
de seguridad en el que se registraron para la extensión en.
Entonces, lo que realmente quieres hacer es nunca permitir ejecutables.
Asegúrese de que el archivo cargado sea lo que espera.
Entonces, si está cargando una imagen, asegúrese de que el tipo de archivo sea una imagen en el otro y que
la extensión sea una extensión de imagen, por lo que es una clavija o un PNB o cualquier otro tipo de imagen.
Y una vez que haga estas dos comprobaciones para asegurarse de que recrea los archivos cargados, verifique que el
archivo sea una imagen y que la extensión sea una extensión de imagen.
Luego analice el uso del archivo en algún tipo de biblioteca, de modo que, según el programa, el idioma que esté
utilizando en su servidor.
Asegúrese de analizar el pasado de este archivo a una biblioteca y analizar su contenido y volver a crear el archivo
para adaptarlo a su sitio web.
Ahora, de todos modos, este es un buen paso porque, dado que está mostrando esto en
su sitio web, quiere asegurarse de que las imágenes sean demasiado grandes y que estén optimizadas para aplicaciones web.
Por lo tanto, es bueno que su sitio web funcione más rápido.
Y también es bueno asegurarse de que esta imagen sea realmente una imagen y no dañe un
archivo dañino.
Así que echemos un vistazo al código fuente ahora. Sé que siempre digo que estamos haciendo pruebas de blackbox, pero
estamos hablando de la seguridad ahora, así que en realidad tienes que ver el código fuente
para ver cómo puedes asegurarlo.
Así que voy a establecer el nivel de seguridad en medio porque el nivel bajo realmente no verifica nada.
Así que vamos a seguir con el medio por ahora y vamos a subirlo. Voy
a ver la fuente.
Entonces, como puede ver ahora en los medios, solo es importante si el tipo de archivo cargado es una imagen ahora, no quiero entrar
en demasiados detalles sobre la codificación porque este no es un curso de codificación.
Solo estamos hablando de cómo protegerse y de las pruebas de penetración.
Entonces tengo que cubrir la parte de seguridad.
Así que vamos a hablar sobre los conceptos, pero no sobre el código real que debe usar porque podría
estar usando un lenguaje de programación diferente.
Entonces, y aquí están usando Ph. RE. y lo que están haciendo es que
tienen una simple instrucción IF y están verificando si la imagen si el tipo de archivo cargado es una imagen.
Entonces, vemos cómo podemos evitar esto fácilmente cargando una imagen y luego cambiando la extensión cambiando el
nombre de nuestro shell al GBG que se cargará, que será aceptado como una imagen y luego cambiaremos
el nombre a medida que se cargó en el archivo BHB .
Ahora, si configuramos esto a un nivel de seguridad alto y
volvemos a la carga y echamos un vistazo al código fuente, puede ver que lo que están haciendo aquí está
comprobando que la extensión es GBG o AJP e. sol..
Y luego puedes subir la imagen.
Entonces no están buscando el tipo de archivo esta vez.
Entonces, como dije, debe verificar tanto ahora como las nuevas versiones de DVD que comió y que en realidad
tiene una configuración de seguridad adicional llamada imposible.
Y lo que hace es que básicamente solo muestra la implementación correcta de cada una de estas páginas.
Entonces, en realidad no puede ser si es la forma correcta de hacerlo.
El DVD, una versión que viene conmigo para explotar un testamento, no tiene esa configuración de seguridad.
Pero realmente no necesitamos usarlo de todos modos.
Solo necesitamos ver el código.
Así que lo tenemos aquí al levantarse.
Y la forma correcta de implementar esto es si observamos esto, es la misma declaración if.
Y básicamente lo que están verificando es que verifican la extensión.
Es una extensión de imagen a j peg o GBG o PND.
Eso está todo bien.
Por lo tanto, tiene que ser una de estas cosas y debe ser de un tipo de imagen, por lo que debe ser de
tipo imagen daypack o imagen BNZ y no se detiene que realmente verifica los tamaños.
Pero eso esta bien.
Lo que también hace de lo que estaba hablando es recrear en la imagen misma.
Entonces, lo que están haciendo es quitarles los metadatos de la imagen y usar una biblioteca.
En realidad no se usan en esa biblioteca, pero deberías usar esa biblioteca que se llama magia
de THP o lo que sea que haya bibliotecas similares para Python y Ruby y todo eso también.
Básicamente, lo que hacen es recrear otra imagen de la imagen cargada una vez que
lo hacen, en realidad eliminan y destruyen la imagen anterior y usan la nueva imagen con un nuevo nombre para crear una
nueva imagen a partir de la imagen anterior.
Lo renombran y luego usan esa imagen.
Por lo tanto, estas son tres cosas que debe verificar para verificar la extensión del tipo
de archivo, recrear la imagen en sí de esa manera, incluso si una persona intenta cargar un archivo incorrecto o un archivo malicioso,
entonces podrá proteger su aplicación web y su servidor de ese archivo.
Entonces, incluso si logran cargar el archivo, el archivo se destruirá debido al proceso de creación.