Wie sichere ich einen Ordner, in dem Benutzer Dateien hochladen können?

Question

Ich habe einen Ordner in meinem Webserver für die Benutzer verwendet, um Fotos mit einer ASP-Seite hochladen.

Ist es sicher genug, um IUSR Schreibrechte für den Ordner zu geben? Muss ich etwas anderes sichern? Ich habe Angst, dass Hacker die ASP-Seite umgehen und Inhalte direkt in den Ordner hochladen.

Ich verwende ASP classic und IIS6 auf Windows 2003 Server. Der Upload erfolgt über HTTP, nicht über FTP.

Bearbeiten: Ändern der Frage für Klarheit und Ändern meiner Antworten als Kommentare.

Answer 1

Ich würde auch empfehlen, die Benutzer nicht in einen Ordner hochladen zu lassen, der aus dem Internet erreichbar ist. Selbst die beste MIME-Typ-Erkennung kann fehlschlagen, und Sie möchten nicht, dass Benutzer beispielsweise eine als jpeg getarnte ausführbare Datei hochladen, wenn Ihr MIME-Sniffing fehlschlägt, aber das in IIS ordnungsgemäß funktioniert.

In der PHP-Welt ist es noch schlimmer, denn ein Angreifer könnte ein schädliches PHP-Skript hochladen und später über den Webserver darauf zugreifen.

Immer, immer speichern die hochgeladenen Dateien in einem Verzeichnis irgendwo außerhalb des Document-Root und greifen Sie über einige zugreifenden-Skript, das zusätzliche Hygienisierung tut (und zumindest explizit aufgenommen Bild/was auch immer MIME-Typ.

Answer 2

Wie lädt der Benutzer die Fotos hoch? Wenn Sie eine ASP-Seite schreiben, um die hochgeladenen Dateien zu akzeptieren, benötigt nur der Benutzer, für den IIS ausgeführt wird, Schreibberechtigung für den Ordner, da IIS die Datei-E/A ausführt. Ihre ASP-Seite sollte die Dateigröße überprüfen und eine Form der Authentifizierung haben, um zu verhindern, dass Hacker Ihre Festplatte füllen.

Wenn Sie einen FTP-Server oder eine andere Dateiübertragungsmethode einrichten, ist die Antwort spezifisch für die von Ihnen gewählte Methode.

Answer 3

Sie müssen Schreibberechtigungen gewähren, aber Sie können den Mime-Typ der Datei überprüfen, um ein Bild zu gewährleisten. Sie können FSO verwenden, wie so:

set fs=Server.CreateObject("Scripting.FileSystemObject") 
set f=fs.GetFile("upload.jpg") 
'image mime types or image/jpeg or image/gif, so just check to see if "image" is instr 
if instr(f.type, "image") = 0 then 
    f.delete 
end if 
set f=nothing 
set fs=nothing 

Auch die meisten Upload-COM-Objekte eine Art Eigenschaft haben, dass Sie gegen vor dem Schreiben der Datei überprüfen konnte.

Answer 4

Ihre beste buck for the buck wäre wahrscheinlich, eine Upload-Komponente zu verwenden (ich habe ASPUpload verwendet), mit der Sie Dateien von einem Ordner hochladen/herunterladen können, auf den von der Website nicht zugegriffen werden kann

Sie erhalten einige Authentifizierungs-Hooks Sie müssen sich keine Sorgen machen, dass jemand zufällig den Ordner durchsucht und die Dateien herunterlädt (oder in Ihrem Fall hochlädt), da die Dateien nur über die Komponente verfügbar sind.