Карточка Middle SSRF, файлы и редиректы обновлено
Безопасная загрузка файлов
Вопрос
Какие меры нужны для безопасной загрузки файлов пользователями?
Попробуйте сами
Ответьте про себя или вслух, потом откройте ответ и сверьтесь.
Показать ответ и разбор
Коротко
Тип по содержимому, имя генерирует сервер, хранение вне веб-корня или в объектном хранилище, лимиты размера и числа, осторожность с архивами (zip bomb, zip slip), отдача с attachment и nosniff с отдельного домена, перекодирование изображений, антивирус при необходимости.
Ответ
Тип по содержимому, имя генерирует сервер, хранение вне веб-корня или в объектном хранилище, лимиты размера и числа, осторожность с архивами (zip bomb, zip slip), отдача с attachment и nosniff с отдельного домена, перекодирование изображений, антивирус при необходимости.
Разбор
Загруженный HTML или SVG, отданный с основного домена, превращается в хранимый XSS.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.