Göreli URI yollarını önlemek için dizgi temizleme

Question

Yerel bir SQL Express veritabanındaki bilgileri güncellemek için oluşturduğum bu HTTP işleyicisine sahibim.

Bir kullanıcının, sorgu dizesi olarak "/../../file.zip" gibi göreli URI yollarını kullanmasının mümkün olduğunu ve kısıtlanmış alanın dışındaki dosyaları karşıdan yükleyebileceğini anladım.

Site henüz yayında değil, bu yüzden şu anda bir güvenlik sorunu değil, bunun gibi şeyleri önlemek isterim.

Giriş sorgusundan herhangi bir ".." öğesini kaldıran basit bir string.replace satırı ekledim.

Bunu sağlamak için burada yapmam gereken başka bir şey var mı?

public void ProcessRequest(HttpContext context) 
{ 
    string filesPath = "C:/Downloads/"; 
    string fileName = context.Request.QueryString["filename"]; 
    fileName = fileName.Replace("'", "''").Replace("..", "").Replace("/", "").Replace("\\", ""); 

    if (!string.IsNullOrEmpty(fileName) && File.Exists(filesPath + fileName)) 
    { 
     context.Response.ContentType = "application/octet-stream"; 
     context.Response.AddHeader("Content-Disposition", string.Format("attachment; filename=\"{0}\"", fileName)); 
     context.Response.WriteFile(filesPath + fileName); 
     //Do work to update SQL database here 
    } 
    else 
    { 
     context.Response.ContentType = "text/plain"; 
     context.Response.Write(filesPath + fileName + " Invalid filename"); 
    } 
} 

Answer 1

Genellikle bu sorunu kontrol etmek için bu basit kodu kullanın:

private string getPath(string basePath, string fileName) 
{ 
    var fullPath = System.IO.Path.GetFullPath(System.IO.Path.Combine(basePath, fileName)); 
    if (fullPath.StartsWith(basePath)) 
     return fullPath; 
    return null; 
} 

gol (derlenemeyecektir.Ancak olmayabilir bu yüzden size fikir vermek için sadece, doğrudan yazın) Path.GetFullPath kullanmaktır. Bu yöntem herhangi bir /../ etc dosyasını tam bir yola çevirecektir. Ardından, döndürülen yolun izin verilen dizinde olduğunu kontrol edin.
bu yöntem beklenenden daha slighty farklı yol, Sen Request.QueryString["filename"] aslında bir dosyayı temsil eden bir anahtar olabilir olabilir ayrıntılı açıklamalar

Answer 2

için MSDN okumak döner olabileceğini dikkatli olun. Kullanıcıların dosya anahtarlarını kolayca tahmin edebilmesini istemiyorsanız, anahtar bir sayı veya rastgele bir dize olabilir. Eşlemeyi bir veritabanında saklayabilir ve yerel dosya adını almak için anahtarı kullanabilirsiniz (ve ikisini değiştirmek ve gerçekten uygulama ayrıntılarınızı gizlemek istiyorsanız bir ekran dosya adı).