[webserver] mailicious file types

[Verwijderd]

In een webbased systeem dat we ontwikkelen zit een stuk documentbeheer. Hierin kunnen gebruikers documenten uploaden die vervolgens door alle gebruikers geopend kunnen worden. Uit veiligheids overwegingen willen we alle bestanden die mogelijk een gevaar vormen voor de server uit sluiten, deze mogen simpelweg niet geupload worden.

De lijst met bestanden die we af willen vangen is:

• .hta
• .php
• .php3
• .php4
• .php5
• .phtml
• .pl
• .py
• .rb
• .sh
• .asp
• .aspx
• .asp
• .cmf
• .cgi
• .ssi
• .shtml
• .htaccess

Het systeem moet op zowel *nix als win servers draaien, en veilig zijn.
Ben ik nog gevaarlijke extensies vergeten? bvd

[sh4d0wman]

waarom werk je met een lijst van af te vangen bestanden? het lijkt mij praktischer om een lijst van toegestane bestanden te maken. dan blok je standaard alles behalve wat je expliciet toestaat. dat werkt veel makkelijker

[Orion84]

Ik neem aan dat je op de hoogte bent van het feit dat extensies in principe nikszeggend zijn?

[Verwijderd]

Verwijderd schreef op dinsdag 02 augustus 2005 @ 16:23:
In een webbased systeem dat we ontwikkelen zit een stuk documentbeheer. Hierin kunnen gebruikers documenten uploaden die vervolgens door alle gebruikers geopend kunnen worden. Uit veiligheids overwegingen willen we alle bestanden die mogelijk een gevaar vormen voor de server uit sluiten, deze mogen simpelweg niet geupload worden.

De lijst met bestanden die we af willen vangen is:

• .hta
• .php
• .php3
• .php4
• .php5
• .phtml
• .pl
• .py
• .rb
• .sh
• .asp
• .aspx
• .asp
• .cmf
• .cgi
• .ssi
• .shtml
• .htaccess

Het systeem moet op zowel *nix als win servers draaien, en veilig zijn.
Ben ik nog gevaarlijke extensies vergeten? bvd

Ik zou ook de headers van de bestanden bekijken, het is namelijk eenvoudig om extensies te spoofen...
ook zou ik jsp opnemen in je lijst

Edit: Orion was me voor

[Verwijderd]

Ik zou ook de headers van de bestanden bekijken, het is namelijk eenvoudig om extensies te spoofen...

Het systeem is geschreven in PHP, het lijkt niet mogelijk te zijn op basis van headers een verschil te ontdekken in bijvoorbeeld een .php en ander plain text bestand (.txt moet bijvoorbeeld wel geupload kunnen worden.)

Extensies spoofen is inderdaad erg makkelijk, maar aangezien gebruikers niet de mogelijkheid hebben om de extensies vervolgens weer terug te zetten, lijkt me dat toch niet zo'n probleem?

[Orion84]

Verwijderd schreef op dinsdag 02 augustus 2005 @ 16:56:
[...]


Het systeem is geschreven in PHP, het lijkt niet mogelijk te zijn op basis van headers een verschil te ontdekken in bijvoorbeeld een .php en ander plain text bestand (.txt moet bijvoorbeeld wel geupload kunnen worden.)

Extensies spoofen is inderdaad erg makkelijk, maar aangezien gebruikers niet de mogelijkheid hebben om de extensies vervolgens weer terug te zetten, lijkt me dat toch niet zo'n probleem?

jawel. Ken je die site niet waar je een jpg opent wat dan een script blijkt te zijn waardoor je cdrom lade opengaat?

Iemand kan dus een gevaarlijk script of iets dergelijks uploaden met een ogenschijnlijk ongevaarlijke extensie zoal .jpg ofzo. Als een ander vervolgens die file opent vanaf het websysteem dan zal dat script (afhankelijk van je browser) gewoon worden uitgevoerd.

Alleen weet ik niet in hoeverre dit schadelijk kan zijn voor de server. Sowieso vraag ik me af of dat files die geupload en gedownload worden gevaarlijk kunnen zijn je moet gewoon zorgen dat ze niet serverside uitgevoerd worden.. Enkel opgeslagen en geopend om te downloaden.

[ Voor 35% gewijzigd door Orion84 op 02-08-2005 17:09 ]

[Verwijderd]

je moet gewoon zorgen dat ze niet serverside uitgevoerd worden.. Enkel opgeslagen en geopend om te downloaden.

Ah, dat klinkt inderdaad als de essentie. Het risico nemende hard verwezen te worden naar een FAQ, is de volgende vraag natuurlijk: is het in zowel apache als IIS mogelijk om een bepaalde directory dusdanig in te stellen dat bestanden daarin nooit uitgevoerd kunnen worden?