Voyons maintenant comment vous pouvez sécuriser votre site Web contre les vulnérabilités de téléchargement de fichiers.
Il ne faut surtout pas oublier que les utilisateurs ne doivent jamais télécharger de fichiers exécutables.
Vous ne devriez plus avoir besoin d'autoriser les gens à télécharger des exécutables.
Donc, des trucs comme BHB avec des scripts exécutables comme x avec tous ces fichiers.
Vous ne devez jamais autoriser des personnes à les télécharger car il existe un risque élevé que ces fichiers
nuisent à votre serveur.
Deuxièmement, vous devez vérifier que le type de fichier correspond à vos attentes.
Et vérifiez l'extension en même temps.
Donc, quand nous voyons et quand vous vous enregistrez avec nos tests et les vidéos précédentes sont le niveau de sécurité faible, évidemment,
il n'y avait pas de contrôles.
Le niveau de sécurité moyen utilisé n’a été enregistré que pour le type de fichier et
le niveau de sécurité élevé auquel l’extension a été enregistrée.
Donc, ce que vous voulez vraiment faire, c'est ne jamais autoriser les exécutables.
Assurez-vous que le fichier téléchargé correspond à vos attentes.
Donc, si vous téléchargez une image, assurez-vous que le type de fichier est une image sur l'autre et
que l'extension est une extension d'image, il s'agit donc d'une cheville, d'un PNB ou de tout autre type d'image.
Et une fois que vous effectuez ces deux vérifications, assurez-vous de recréer les fichiers téléchargés afin de vérifier
que le fichier est une image et que l'extension est une extension d'image.
Ensuite, analysez l’utilisation du fichier dans une sorte de bibliothèque, en fonction du programme, de la langue que vous
utilisez sur votre serveur.
Assurez-vous d’analyser ce fichier dans une bibliothèque, d’analyser son contenu et de recréer le fichier en fonction
de votre site Web.
Maintenant, c’est de toute façon une bonne chose car, puisque vous l’affichez sur votre
site Web, vous voulez vous assurer que les images sont trop grandes et optimisées pour les applications Web.
Il est donc bon que votre site Web soit plus rapide.
Et c’est également une bonne chose de vous assurer que cette image est bien une image et non un
fichier nuisible.
Jetons donc un coup d'œil au code source maintenant. Je sais que je dis
toujours que nous effectuons des tests de boîte noire, mais nous
parlons maintenant de sécurité.
Je vais donc simplement régler le niveau de sécurité sur moyen, car le niveau bas ne vérifie pas vraiment quoi que ce soit.
Donc, nous allons simplement utiliser le support pour le moment et nous allons procéder au téléchargement,
je vais voir la source.
Donc, comme vous pouvez le constater maintenant dans les médias, il n’ya que des problèmes si le type de fichier téléchargé est une image. Je ne veux pas
entrer trop dans les détails concernant le codage, car ce n’est pas un cours de codage.
Nous ne parlons que de la manière dont vous vous assurez et des tests d'intrusion.
Je dois donc couvrir la partie de sécurité.
Nous allons donc parler des concepts mais pas du code que vous devez utiliser car vous pourriez
utiliser un langage de programmation différent.
Alors et ici ils utilisent Ph. RÉ. et ce qu'ils font, c'est qu'ils
ont juste une simple instruction IF et ils vérifient si l'image si le type de fichier téléchargé est une image.
Nous voyons donc comment nous pouvons facilement contourner ce problème en téléchargeant une
image, puis en modifiant l'extension en renommant notre shell en GBG, qui sera
transféré et qui sera accepté en tant qu'image. .
Maintenant, si nous définissons cela comme un niveau de sécurité élevé
et que nous revenons au téléchargement et examinons le code source, vous pouvez voir que ce qu'ils font ici
vérifie que l'extension est GBG ou AJP e. g..
Et puis vous pouvez télécharger la photo.
Donc, ils ne vérifient pas le type de fichier pour le moment.
Donc, comme je l'ai dit, vous devez vérifier à la fois maintenant et les nouvelles versions de DVD que vous avez mangées et
qui disposent d'un paramètre de sécurité supplémentaire appelé impossible.
Et ce qu’il fait, c’est qu’il vous montre simplement la bonne implémentation de chacune de ces pages.
Donc, c’est vraiment impossible si c’est la bonne façon de le faire.
Le DVD fourni avec moi pour exploiter un testament n’a pas ce paramètre de sécurité.
Mais on n'a pas vraiment besoin de l'utiliser quand même.
Nous avons juste besoin de voir le code.
Donc, nous l'avons ici sur se lever.
Et la bonne façon de mettre en œuvre cela est si nous regardons c'est la même déclaration si
Et fondamentalement, ils vérifient qu'ils vérifient l'extension.
Il s’agit d’une extension d’image à j peg, GBG ou PND.
Donc c'est tout bon.
Il doit donc s'agir d'une de ces choses et d'un type d'image. Elle doit donc être de type image
daypack ou image BNZ et ne s'arrête pas pour vérifier les tailles.
Mais ça va.
Ce que fait aussi ce dont je parlais est ce qui est recréé dans l'image elle-même.
Donc, ce qu'ils font, c'est qu'ils effacent les métadonnées de l'image et utilisent une bibliothèque.
En fait, ils ne sont pas utilisés dans cette bibliothèque, mais vous devriez utiliser cette bibliothèque appelée THP magic
ou quoi que ce soit qui existe, il existe des bibliothèques similaires pour Python et Ruby et tout le reste.
Ce qu’ils font, c’est qu’ils recréent une autre image à partir de l’image
téléchargée, qu’ils suppriment et détruisent l’ancienne image et utilisent la nouvelle image avec un nouveau nom pour créer une
nouvelle image à partir de l’ancienne image.
Ils le renomment et ensuite ils utilisent cette image.
Ce sont donc trois choses dont vous avez besoin pour vérifier l'extension. Pour le type de
fichier, recréer l'image elle-même de cette façon, même si une personne tente de télécharger un fichier endommagé ou un fichier malveillant, vous pourrez
alors protéger votre application Web et votre serveur de ce fichier.
Ainsi, même s’ils parviennent à télécharger le fichier, celui-ci sera détruit en raison du processus de création.