Acum hai să vorbim despre cum vă puteți asigura site-ul dvs. de vulnerabilitățile de încărcare a fișierelor.
Principalul lucru pe care trebuie să-l țineți cont este că nu permiteți niciodată oamenilor să încarce executabile.
Nu ar trebui să fie nevoie să permiteți oamenilor să încarce executabile într-adevăr.
Deci, chestii asemănătoare BHB de executabile de script-uri cum ar fi x com toate aceste fișiere.
Nu trebuie să permiteți niciodată utilizatorilor să le încarce, deoarece există o mare posibilitate ca aceste fișiere
să vă dăuneze serverului.
Cel de-al doilea lucru este că trebuie să verificați dacă tipul de fișier este ceea ce doriți, ceea ce așteptați.
Și verificați extensia în același timp.
Deci, când vedem și când vă verificați testele și videoclipurile anterioare sunt nivelul scăzut de securitate, evident
nu au existat verificări.
Nivelul de securitate mediu a fost verificat doar pentru tipul de fișier și nivelul ridicat
de securitate pe care au fost verificate pentru extensia pe.
Ceea ce vrei să faci într-adevăr nu este niciodată să accepți executabile.
Asigurați-vă că fișierul încărcat este ceea ce așteptați.
Deci, dacă încărcați o imagine, asigurați-vă că tipul de fișier este o imagine pe cealaltă și că extensia
este o extensie de imagine, așa că este o conexiune sau un PNB sau orice alt tip de imagine activat.
Iar odată ce faceți aceste două verificări, asigurați-vă că recreați fișierele încărcate, astfel încât să verificați dacă fișierul
este o imagine și să verificați dacă extensia este o extensie de imagine.
Apoi, analizați utilizarea fișierului într-un fel de bibliotecă, astfel încât, în funcție de program, limba pe care o
utilizați pe serverul dvs.
Asigurați-vă că vă analizați prin intermediul acestui fișier într-o bibliotecă și analizați conținutul său și recreați fișierul pentru a
se potrivi site-ului dvs. Web.
Acum, acest lucru este, de fapt, un pas bun, oricum, deoarece deoarece afișați acest lucru pe
site-ul dvs. Web, doriți să vă asigurați că imaginile sunt prea mari și că acestea sunt optimizate pentru aplicații web.
Deci este un lucru bun pentru site-ul dvs. să ruleze mai repede.
Și este, de asemenea, un lucru bun să vă asigurați că această imagine este de fapt o imagine și nu un rău un
fișier dăunător.
Deci, haideți să aruncăm o privire asupra codului sursă, acum știu că întotdeauna spun că facem testări în blackbox,
dar acum vorbim de securitate acum, deci trebuie să vezi codul sursă pentru a
vedea cum îl poți asigura.
Deci, voi stabili nivelul de securitate la nivel mediu, deoarece nivelul scăzut nu verifică nimic.
Deci, vom merge cu mediul pentru moment și vom continua încărcarea.
Voi vedea sursa.
Așa cum puteți vedea acum în mass-media este doar pui în cazul în care tipul de fișier încărcat este o imagine acum nu vreau să
intru în prea multe detalii despre codificare, deoarece aceasta nu este un curs de codificare.
Vorbim doar despre modul în care vă asigurați-vă și despre testarea penetrării.
Așa că trebuie să acopăr partea de securitate.
Așa că vom vorbi despre concepte, dar nu despre codul actual pe care trebuie să-l folosiți pentru că ați
putea folosi un limbaj de programare diferit.
Deci și aici folosesc Ph. D. și ceea ce fac ei este
că au doar o simplă instrucțiune IF și verifică dacă imaginea dacă tipul de fișier încărcat este o imagine.
Așa că vedem cum putem trece cu ușurință acest lucru prin încărcarea unei imagini și apoi schimbarea extensiei
prin redenumirea cochiliei noastre la GBG care va fi încărcată și care va fi acceptată ca o imagine
și apoi vom redenumi-o așa cum a fost încărcată în fișierul BHB .
Acum, dacă am setat acest nivel la nivel ridicat de securitate
și ne întoarcem la încărcare și să aruncăm o privire la codul sursă, puteți vedea că ceea ce fac
ei verifică dacă extensia este GBG sau AJP e. g ..
Apoi puteți încărca fotografia.
Deci nu verifică de data asta tipul de fișier.
Așa cum am spus că trebuie să verificați atât acum, cât și versiunile noi ale DVD-urilor pe care le-ați mâncat și de
fapt are un set de securitate suplimentar numit imposibil.
Și ceea ce face este că practic vă arată doar implementarea corectă a fiecărei pagini.
Deci, de fapt nu poate fi dacă este modul potrivit de ao face.
DVD-ul care vine cu mine pentru a exploata o voință nu are acea setare de securitate.
Dar nu trebuie să o folosim oricum.
Trebuie doar să vedem codul.
Așa că o avem aici.
Și modul în care modul corect de a implementa acest lucru este dacă ne uităm la acest lucru este aceeași dacă declarația.
În principiu, ceea ce verifică este că verifică extensia.
Este vorba de o extensie a imaginilor un jpg sau GBG sau PND.
Deci asta e bine.
Deci, trebuie să fie unul dintre aceste lucruri și trebuie să fie de tip imagine, așa că trebuie să fie de tip
daypack imagine sau imagine BNZ și nu se oprește că verifică de fapt dimensiunile.
Dar este in regula.
Ceea ce face și despre care vorbesc despre care se recreează în imaginea însăși.
Deci, ceea ce fac ei sunt că ei elimină metadatele imaginii și folosesc o bibliotecă.
De fapt, nu sunt folosite în acea bibliotecă, dar ar trebui să folosiți acea bibliotecă
denumită magie THP sau orice ar exista biblioteci similare pentru Python și Ruby și toate acestea.
În principiu, ceea ce fac ei este să recreeze o altă imagine din imaginea încărcată
odată ce o fac, încât să șterge și să distrugă vechea imagine și să utilizeze noua imagine cu un nume nou, astfel încât
să creeze o imagine nouă din vechea imagine.
Ei redenumesc și apoi folosiți acea imagine.
Deci, acestea sunt trei lucruri pe care trebuie să le verificați pentru verificarea extensiei pentru tipul
de fișier, pentru a recrea imaginea în sine, chiar dacă o persoană încearcă să încarce un fișier rău sau un fișier rău intenționat, atunci
veți putea să vă protejați aplicația web și server din acel fișier.
Deci, chiar dacă reușesc să încarce fișierul, atunci fișierul va fi distrus din cauza procesului de creare.