6. 위험한 형식 파일 업로드

서버 측에서 실행될 수 있는 스크립트 파일(asp, jsp, php 파일 등)이 업로드가능하고, 이 파일을

공격자가 웹으로 직접 실행시킬 수 있는 경우, 시스템 내부명령어를 실행하거나 외부와 연결하여

시스템을 제어할 수 있는 보안약점이다.

😭JAVA

MultipartRequest multi

= new MultipartRequest(request,savePath,sizeLimit,"euc-kr",new

DefaultFileRenamePolicy());

......

//업로드 되는 파일명을 검증없이 사용하고 있어 안전하지 않다.

String fileName = multi.getFilesystemName("filename");

......

sql = " INSERT INTO

board(email,r_num,w_date,pwd,content,re_step,re_num,filename) "

+ " values ( ?, 0, sysdate(), ?, ?, ?, ?, ? ) ";

preparedStatement pstmt = con.prepareStatement(sql);

pstmt.setString(1, stemail);

pstmt.setString(2, stpwd);

pstmt.setString(3, stcontent);

pstmt.setString(4, stre_step);

pstmt.setString(5, stre_num);

pstmt.setString(6, fileName);

pstmt.executeUpdate();

Thumbnail.create(savePath+"/"+fileName, savePath+"/"+"s_"+fileName, 150);

😀JAVA

MultipartRequest multi

= new MultipartRequest(request,savePath,sizeLimit,"euc-kr",new

DefaultFileRenamePolicy());

......

String fileName = multi.getFilesystemName("filename");

if (fileName != null) {

//1.업로드 파일의 마지막 “.” 문자열의 기준으로 실제 확장자 여부를 확인하고, 대소문자 구별을 해야한다.

String fileExt =

FileName.substring(fileName.lastIndexOf(".")+1).toLowerCase();

//2.되도록 화이트 리스트 방식으로 허용되는 확장자로 업로드를 제한해야 안전하다.

if (!"gif".equals(fileExt) && !"jpg".equals(fileExt) && !"png".equals(fileExt))

{

alertMessage("업로드 불가능한 파일입니다.");

return;

}

}

......

sql = " INSERT INTO

board(email,r_num,w_date,pwd,content,re_step,re_num,filename) "

+ " values ( ?, 0, sysdate(), ?, ?, ?, ?, ? ) ";

PreparedStatement pstmt = con.prepareStatement(sql);

......

Thumbnail.create(savePath+"/"+fileName, savePath+"/"+"s_"+fileName, 150);

😭C#

string fn = Path.GetFileName(FileUploadCtr.FileName);

//업로드 하는 파일명을 검증없이 사용하고 있다.

FileUploadCtr.SaveAs(fn);

StatusLabel.Text = "Upload status: File uploaed!";

😀C#

//파일 타입과 크기를 제한합니다.

if (FileUploadCtr.PostedFile.ContentType == "image/jpeg”)

{

if (FileUploadCtr.PostedFile.ContentLength < 102400)

{

string fn = Path.GetFileName(FileUploadCtr.FileName);

FileUploadCtr.SaveAs(Server.MapPath("~/") + fn);

StatusLabel.Text = "Upload status: File uploaed!";

}

else

StatusLabel.Text = "Upload Status: The File has to be less than 100 kb!";

}

else

StatusLabel.Text = "Upload Status: Only JPEG files are accepted!";