Расширения файлов должным образом валидируются

Описание

Это требование подразумевает, что при загрузке файлов на сервер необходимо проверять и валидировать их расширения. Такая валидация позволяет защитить сервер от загрузки потенциально опасных файлов, которые могут быть использованы злоумышленниками для атак, таких как внедрение вредоносного кода или получение несанкционированного доступа.

Почему это важно

Защита от выполнения вредоносного кода: Валидация расширений файлов помогает предотвратить загрузку и выполнение файлов с опасными расширениями, такими как .php, .exe, .js, которые могут быть использованы для атак.
Ограничение допустимых типов файлов: Позволяет разрешать только нужные типы файлов (например, изображения, документы) и отклонять любые подозрительные файлы.
Снижение риска атак: Проверка расширений минимизирует риск атак, таких как загрузка и выполнение скриптов на сервере, XSS и инъекции через файлы.

Способы реализации с примерами

Использование белого списка разрешенных расширений: Необходимо определить, какие расширения файлов допустимы для загрузки, и блокировать любые другие расширения.

Пример (валидация расширений на Python):

ALLOWED_EXTENSIONS = {'png', 'jpg', 'jpeg', 'gif', 'pdf'}

def allowed_file(filename):
    return '.' in filename and filename.rsplit('.', 1)[1].lower() in ALLOWED_EXTENSIONS

# Пример использования
filename = 'example.png'
if allowed_file(filename):
    print("File extension is valid")
else:
    print("Invalid file extension")

Пример (валидация расширений на PHP):

function validate_file_extension($filename) {
    $allowed_extensions = ['png', 'jpg', 'jpeg', 'gif', 'pdf'];
    $extension = pathinfo($filename, PATHINFO_EXTENSION);

    if (in_array(strtolower($extension), $allowed_extensions)) {
        return true;
    }
    return false;
}

// Пример использования
$filename = 'document.pdf';
if (validate_file_extension($filename)) {
    echo "File extension is valid";
} else {
    echo "Invalid file extension";
}

Пример (валидация расширений на JavaScript):

function validateFileExtension(filename) {
    const allowedExtensions = ['png', 'jpg', 'jpeg', 'gif', 'pdf'];
    const extension = filename.split('.').pop().toLowerCase();

    return allowedExtensions.includes(extension);
}

// Пример использования
const filename = 'image.jpg';
if (validateFileExtension(filename)) {
    console.log("File extension is valid");
} else {
    console.log("Invalid file extension");
}

Примеры уязвимого кода

// Пример уязвимого кода, не выполняющего проверку расширения
function upload_file($file) {
    // Файл загружается без проверки его расширения
    move_uploaded_file($file['tmp_name'], 'uploads/' . $file['name']);
}

Проблема: Отсутствие валидации расширения позволяет загружать файлы с любыми расширениями, включая потенциально опасные, такие как .php или .exe.

Причины, к которым может привести несоблюдение требования

Загрузка и выполнение вредоносных файлов: Без валидации злоумышленники могут загрузить скрипты или программы, которые выполнятся на сервере и могут нанести серьезный ущерб.
Компрометация безопасности системы: Уязвимости в обработке файлов могут привести к несанкционированному доступу к системе или к выполнению произвольных команд на сервере.
Заражение системы вредоносным ПО: Загрузка исполняемых файлов, таких как .exe или .bat, может привести к запуску вредоносного ПО, что может заразить сервер.