"Js | yarasa | | php exe" ve diğer her türlü izin I IN DEĞİL kontrol etmeliyim?
Hayır Beyaz Liste fişliyor daha iyidir. Hakkında bilmek olasıdır daha çok, çok daha tehlikeli filetypes vardır. Bu dört ancak yuzeysel.
Ben listesine "xml" eklerseniz? herhangi bir güvenlik sorunu neden olabilir?
Evet, [X] [HT] ML görev yaptı sitenin güvenlik bağlamında çalışır scripting ihtiva edebilir. Hangi verir (, kurabiye çalmak sahtecilik vb talep) sitenize JavaScript enjekte sitenize belgeleri yükleyebilirsiniz herkes.
Ancak ... aslında zaten yok, herhangi bir güvenlik sorunu katmıyor. Hatta filetype / uzantısı beyaz liste Çünkü, IE ve misbegotten tip-koklama sayesinde güvenli değildir. Bir .txt dosya yüklemek ve Content-Type: text/plain başlığı kullanılarak doğru bir şekilde hizmet, ancak IE HTML benzetiyor dizileri varsa, IE seni görmezden ve HTML olarak işlemek olacaktır olabilir - boom, XSS.
(Aynı gerçekten başka bir türü doğrudur ama. Txt en açık savunmasızdır.)
Bu karmaşa sabitleme için iki yaklaşım vardır:
Farklı JS güvenlik bağlamlarda ve çerezleri veya kimlik doğrulama verileri paylaşmak kalmamak, ana uygulama siteye farklı bir hostname tüm kullanıcı tarafından yüklenen dosyaları hizmet vermektedir.
onlar her zaman tarayıcı içinde görüntülenen indirilebilir değil olacak, böylece Content-Disposition: attachment başlığı ile tüm kullanıcı tarafından yüklenen dosyaları hizmet vermektedir.
(2) kendi su geçirmez olmalı, fakat pratikte geçmişte nedeniyle tarayıcı ve eklenti patlatır etrafında yolu olmuştur, bu yüzden ben tamamen ona güven emin değilim. (1) kendi XSS durur, ama sitelerini sömürmek için iframe içeren HTML dosyaları gibi diğer nasties durmuyor.
Bu yüzden ikisini de yapmak en iyisidir.
