Rischi per la sicurezza posti dai nomi di file generati dall'utente su un server web [chiuso]

0

I nomi dei file stessi rappresentano un rischio per la sicurezza?

Abbiamo un server web, gli utenti possono caricare file sul server. I file vengono temporaneamente memorizzati sul server, quindi spostati su S3. I nomi dei file sono registrati nel nostro database MySQL e infine inclusi nel codice HTML & CSS che il nostro server web produce. I nomi dei file stessi non vengono mai modificati da ciò che l'utente carica.

In termini di sicurezza, esiste una vulnerabilità che può essere sfruttata con un semplice nome file? Dovremmo cambiare i nomi dei file dei contenuti caricati, o è sicuro archiviare semplicemente i nomi dei file così come sono?

    
posta Jimmery 07.06.2018 - 12:11
fonte

1 risposta

1

Sì, tutti gli input controllati dall'utente rappresentano un potenziale rischio per la sicurezza e non dovrebbero mai essere considerati attendibili.

Tuttavia, se il nome del file è una minaccia per la tua applicazione dipende da come elabora internamente il file e il nome del file. Suggerirei di disinfettare il nome del file quando l'utente esegue il caricamento del file.

Per i casi di test, le best practice e i metodi di prevenzione, consulta la pagina Caricamento file illimitato su OWASP.

    
risposta data 07.06.2018 - 12:27
fonte

Leggi altre domande sui tag