【前端安全】接入层上传问题

最新推荐文章于 2024-06-24 09:38:06 发布

Daisyiko

最新推荐文章于 2024-06-24 09:38:06 发布

阅读量260

点赞数

分类专栏：安全文章标签：安全接入层

本文链接：https://blog.youkuaiyun.com/qq_37021554/article/details/89189137

版权

安全专栏收录该内容

8 篇文章

订阅专栏

本文探讨了在Web应用中上传文件可能带来的安全风险，如文件被不当解析执行非法操作。通过限制文件后缀、检查文件类型及内容，确保上传文件的安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

接入层上传问题

上传来自用户,会马上被用户访问

如果文件被当做文件解析,可能会造成问题。

如果是可以被执行的文件，可能会直接执行一些非法的操作。

上传问题:

上传文件
再次访问上传的文件
上传的文件被当成程序解析

const bodyParser = require('koa-body');
app.use(bodyParser({
    multipart: true
}))

防御:

限制上传后缀

if(data.files) {
    let file = data.files.img;
    let ext = path.extname(file.name);
    if(ext === 'js') {
        throw new Error('别传js');
    }
    let filename = Date.now() + ext;
    fs.readnameSync(file.path, './static/upload' + filename);
    
    data.fields.content += '<img src="/uploadFile/" + filename/>'
    
    data = data.fields;
    
}

文件类型检查

if(file.type != 'images/png') {
    throw new Error('只允许png')
}

文件内容检查

每一种文件前面的几个buffer的内容都是固定的

var fileBuffer = fs.readFileSync(file.path);
fileBuffer[0] == 0x5b;

程序输出
权限控制-可写可执行互斥