Ora parliamo di come puoi proteggere il tuo sito web dalle vulnerabilità di caricamento dei file.
La cosa principale da tenere a mente è che non consentire mai alle persone di caricare file eseguibili.
Non dovrebbe esserci la necessità per te di consentire alle persone di caricare realmente gli eseguibili.
Quindi cose come BHB da script eseguibili come x com tutti questi file.
Non dovresti mai permettere alle persone di caricarle perché c'è un'alta probabilità che questi file possano danneggiare
il tuo server.
La seconda cosa è che devi verificare che il tipo di file sia ciò che desideri e ciò che ti aspetti.
E controlla l'estensione allo stesso tempo.
Quindi quando vediamo e quando effettui il check-in con i nostri test e i video precedenti sono a basso livello di sicurezza, ovviamente
non ci sono stati controlli.
Il livello di sicurezza medio era il check-in solo per il tipo di file e
l'alto livello di sicurezza che stavano controllando per l'estensione sul.
Quindi quello che vuoi fare in realtà non è mai permettere gli eseguibili.
Assicurati che il file caricato sia quello che ti aspetti.
Quindi, se stai caricando un'immagine, assicurati che il tipo di file sia un'immagine nell'altra e che
l'estensione sia un'estensione dell'immagine, quindi è un peg o un PNB o qualsiasi altro tipo di immagine.
E una volta eseguiti questi due controlli, in modo tale che sia necessario assicurarsi di ricreare i file caricati in
modo da controllare che il file sia un'immagine e controllare che l'estensione sia un'estensione dell'immagine.
Quindi analizza l'uso del file in una sorta di libreria, in base al programma utilizzato nella
lingua del server.
Assicurati di analizzare il file passato in una libreria e analizzarne il contenuto e ricreare il file per
adattarlo al tuo sito Web.
Ora questo è in realtà un buon passo perché poiché lo stai visualizzando sul tuo
sito Web, devi assicurarti che le immagini siano troppo grandi e che siano ottimizzate per le applicazioni web.
Quindi è una buona cosa per il tuo sito web correre più veloce.
Ed è anche una buona cosa assicurarsi che questa immagine sia effettivamente un'immagine e non un danno un
file dannoso.
Dunque, diamo un'occhiata al codice sorgente ora che so che dico sempre che stiamo facendo un test
blackbox ma stiamo parlando della sicurezza ora, quindi devi vedere il codice sorgente per
vedere come puoi proteggerlo.
Quindi imposto il livello di sicurezza su medio perché il basso non controlla proprio nulla.
Quindi per ora andremo con il mezzo e andremo sul caricamento. Vado
a vedere la fonte.
Quindi, come puoi vedere ora nei media, è solo pollo se il tipo di file caricato è un'immagine, ora non voglio entrare troppo
nei dettagli sulla codifica perché non si tratta di un corso di codifica.
Stiamo solo parlando di come ti stai proteggendo e dei test di penetrazione.
Quindi devo coprire la parte di sicurezza.
Quindi parleremo dei concetti ma non del codice effettivo che è necessario utilizzare perché potresti utilizzare
un linguaggio di programmazione diverso.
Quindi e qui stanno usando Ph. D. e quello che stanno facendo è
che hanno solo una semplice istruzione IF e stanno controllando se l'immagine se il tipo di file caricato è un'immagine.
Quindi vediamo come possiamo aggirare questo facilmente caricando un'immagine e poi cambiando l'estensione
rinominando la nostra shell in GBG che verrà caricata e accettata come immagine e
quindi la rinomineremo appena caricata nel file BHB .
Ora, se impostiamo questo livello ad alto livello di sicurezza e
torniamo al caricamento e diamo un'occhiata al codice sorgente, possiamo vedere che quello che stanno facendo qui stanno
controllando che l'estensione sia GBG o AJP e. g ..
E poi puoi caricare l'immagine.
Quindi non stanno controllando il tipo di file questa volta.
Quindi, come ho detto, è necessario verificare sia ora che le nuove versioni di DVD che hai mangiato e in
realtà ha un'impostazione di sicurezza extra chiamata impossibile.
E quello che fa è fondamentalmente solo ti mostra la corretta implementazione di ciascuna di queste pagine.
Quindi in realtà non può essere se è il modo giusto per farlo.
Il DVD una versione che viene con me per sfruttare un testamento non ha quell'impostazione di sicurezza.
Ma non abbiamo davvero bisogno di usarlo comunque.
Abbiamo solo bisogno di vedere il codice.
Quindi ce l'abbiamo qui alzati.
E il modo in cui il modo giusto per implementare questo è se guardiamo a questo è la stessa affermazione.
E in sostanza quello che stanno controllando è che controllano l'estensione.
Si tratta di estensioni di immagine a j peg o GBG o PND.
Quindi va tutto bene.
Quindi deve essere una di queste cose e deve essere di un tipo di immagine quindi deve essere di tipo immagine daypack
o immagine BNZ e non si ferma che in realtà controlla le dimensioni.
Ma va bene.
Ciò che fa anche di cui stavo parlando è ricreare nell'immagine stessa.
Quindi quello che stanno facendo è che stanno rimuovendo i metadati dell'immagine e stanno usando una libreria.
In realtà non sono usati in quella libreria, ma dovresti usare quella libreria che si chiama THP
magic o qualunque cosa ci sia che ci siano librerie simili per Python e Ruby e tutto il resto.
Fondamentalmente ciò che fanno è ricreare un'altra immagine dall'immagine caricata una volta che
fanno effettivamente eliminare e distruggere la vecchia immagine e utilizzare la nuova immagine con un nuovo nome in modo da
creare una nuova immagine dalla vecchia immagine.
Lo rinominano e poi tu usi quell'immagine.
Quindi queste sono tre cose che devi controllare per il controllo dell'estensione per il tipo di file
ricreare l'immagine stessa così anche se una persona prova a caricare un file non valido o un file dannoso, allora sarai in grado di
proteggere la tua applicazione web e il tuo server da quel file.
Quindi, anche se riescono a caricare il file, il file verrà distrutto a causa del processo di creazione.