Porozmawiajmy teraz o tym, jak możesz zabezpieczyć swoją witrynę przed atakami związanymi z przesyłaniem plików.
Najważniejszą rzeczą, o której należy pamiętać, jest to, aby nigdy nie zezwalać użytkownikom na przesyłanie plików wykonywalnych.
Nie powinno być potrzeby, aby ludzie mogli przesyłać pliki wykonywalne naprawdę.
Tak więc rzeczy takie jak BHB przez pliki wykonywalne skryptów, takie jak x com, wszystkie te pliki.
Nigdy nie należy zezwalać użytkownikom na przesyłanie ich, ponieważ istnieje duże prawdopodobieństwo, że pliki te
mogą zaszkodzić serwerowi.
Drugą sprawą jest sprawdzenie, czy typ pliku jest tym, czego oczekujesz.
I sprawdź rozszerzenie w tym samym czasie.
Tak więc, gdy widzimy i kiedy odprawiamy się z naszymi testami, a poprzednie filmy są na niskim poziomie bezpieczeństwa
oczywiście nie było czeków.
Średni poziom bezpieczeństwa polegał na sprawdzaniu tylko tego typu pliku i wysokiego poziomu
bezpieczeństwa, w jakim zostały odprawione dla rozszerzenia na.
Więc naprawdę nie wolno pozwolić na pliki wykonywalne.
Upewnij się, że przesłany plik jest zgodny z oczekiwaniami.
Jeśli więc przesyłasz obraz, upewnij się, że typ pliku jest obrazem z drugiego, a
rozszerzenie to rozszerzenie obrazu, więc jest to kołek lub PNB lub jakikolwiek inny typ obrazu włączony.
Po wykonaniu tych dwóch sprawdzeń, aby upewnić się, że odtworzone zostaną ponownie przesłane pliki, sprawdź,
czy plik jest obrazem i sprawdź, czy rozszerzenie jest rozszerzeniem obrazu.
Następnie przeanalizuj użycie pliku w jakiejś bibliotece, w zależności od programu, jakiego języka używasz
na serwerze.
Upewnij się, że przeanalizowałeś ten plik do biblioteki i przeanalizowałeś jego zawartość, a następnie odtworzyłeś plik, aby
pasował do twojej witryny.
Teraz jest to właściwie dobry krok, ponieważ ponieważ wyświetlasz to na swojej stronie
internetowej, chcesz mieć pewność, że obrazy są zbyt duże i że są zoptymalizowane pod kątem aplikacji internetowych.
Witryna działa więc szybciej.
A także dobrze jest upewnić się, że ten obraz jest w rzeczywistości obrazem, a nie szkodliwym
plikiem.
Zobaczmy teraz kod źródłowy, teraz wiem, że zawsze mówię, że robimy testowanie blackboksa, ale
mówimy teraz o bezpieczeństwie, więc musisz zobaczyć kod źródłowy, aby zobaczyć,
jak możesz go zabezpieczyć.
Więc zamierzam ustawić poziom bezpieczeństwa na średni, ponieważ niski poziom nie sprawdza niczego.
Więc na razie będziemy używać tego medium, a my zamierzamy kontynuować przesyłanie,
że zobaczę źródło.
Jak widać teraz w mediach, to tylko kurczak, jeśli przesłany typ pliku jest teraz obrazem, nie chcę wdawać się w
zbyt wiele szczegółów na temat kodowania, ponieważ nie jest to kurs kodowania.
Mówimy tylko o tym, jak się zabezpieczasz i o testach penetracyjnych.
Muszę więc zabezpieczyć część zabezpieczającą.
Porozmawiamy więc o pojęciach, ale nie o rzeczywistym kodzie, którego potrzebujesz, ponieważ możesz
używać innego języka programowania.
Tak i tutaj używają Ph. RE. i robią to, że
mają proste instrukcje JEŻELI i sprawdzają, czy obraz, jeśli przesłany typ pliku jest obrazem.
Widzimy więc, jak możemy to łatwo ominąć, przesyłając obraz, a następnie zmieniając rozszerzenie, zmieniając nazwę
naszej powłoki na GBG, który zostanie przesłany, który zostanie zaakceptowany jako obraz, a my po prostu
zmieniamy jego nazwę, gdy zostanie załadowany do pliku BHB .
Jeśli ustawimy to na wysoki poziom bezpieczeństwa, a
my wrócimy do przesłania i przyjrzymy się kodowi źródłowemu, zobaczymy, że to, co robią, sprawdza,
czy rozszerzenie to GBG czy AJP. sol..
A następnie możesz przesłać zdjęcie.
Tym razem nie sprawdzają typu pliku.
Tak jak powiedziałem, musisz sprawdzić zarówno teraz, jak i nowe wersje DVD, które zjadłeś i faktycznie
ma dodatkowe ustawienie bezpieczeństwa o nazwie niemożliwe.
A to, co robi, to po prostu pokazuje właściwą implementację każdej z tych stron.
Więc tak naprawdę nie może być, jeśli jest to właściwy sposób.
Ta wersja DVD, która wchodzi we mnie, aby wykorzystać wolę, nie ma tego ustawienia zabezpieczeń.
Ale tak naprawdę nie musimy tego używać.
Musimy tylko zobaczyć kod.
Więc mamy to tutaj, kiedy wstajemy.
A sposób, w jaki można to wdrożyć, jest taki, że jeśli przyjrzymy się temu, to jest to samo, co stwierdzenie.
Zasadniczo sprawdzają, czy sprawdzają rozszerzenie.
Jest to rozszerzenie obrazu j peg lub GBG lub PND.
To wszystko jest dobre.
Musi to być jedna z tych rzeczy i musi być typu obrazu, więc musi to być plecak z obrazem
typu lub obraz BNZ i to nie koniec, że faktycznie sprawdza rozmiary.
Ale jest dobrze.
Co też robię, o czym mówiłem, odtwarza się w samym obrazie.
Więc robią to, że oni rozbierają metadane obrazu i używają biblioteki.
W rzeczywistości nie są one używane w tej bibliotece, ale powinieneś używać tej biblioteki, która nazywa
się magią THP lub cokolwiek jest takiego, że istnieją podobne biblioteki dla Pythona i Ruby i to wszystko.
Zasadniczo to, co robią, to odtworzenie innego obrazu z przesłanego obrazu, gdy
już to zrobią, to faktycznie usuwa i niszczy stary obraz i używa nowego obrazu z nową nazwą, aby
utworzyć nowy obraz ze starego obrazu.
Zmieniają nazwę, a potem używają tego obrazu.
Są to więc trzy rzeczy, które należy sprawdzić w celu sprawdzenia rozszerzenia dla typu pliku,
aby odtworzyć obraz w ten sposób, nawet jeśli dana osoba spróbuje przesłać zły plik lub szkodliwy plik, wtedy będziesz w stanie
chronić swoją aplikację internetową i swój serwer z tego pliku.
Więc nawet jeśli uda się załadować plik, plik zostanie zniszczony z powodu procesu tworzenia.