Téléchargement de photos - Comment maintenir la sécurité de mon site Web?

Question

Mon site Web aimerait que les utilisateurs téléchargent leurs photos ... mais comment éviter que mon serveur ne soit endommagé? Autoriser uniquement les fichiers JPG devrait éviter les problèmes de virus, mais que se passe-t-il si quelqu'un sélectionne un fichier 10Gb - cela ralentira-t-il l'ensemble du site?

Nous utilisons Classic ASP et IIS6 (désolé, mais c'est comme ça, ne peut pas changer ça!). Auparavant, nous utilisions une DLL d'une société appelée Persits pour gérer les téléchargements. Cependant, il serait utile à d'autres personnes si nous étendons cette discussion à d'autres langues/technologies aussi. Les ASP ne peuvent pas détecter la taille d'un fichier tant qu'il n'a pas terminé le téléchargement, donc c'est douloureux. Ou puis-je vérifier la longueur du contenu dans l'en-tête HTTP avant de commencer le transfert?

Q1. Y a-t-il d'autres façons dont quelqu'un pourrait abuser de l'installation de téléchargement?
Q2. Comment puis-je limiter le danger de garder le site en fonctionnement et le serveur en toute sécurité?

Merci.

Answer 1

En Persiste, vous pouvez définir la taille maximum d'un utilisateur peut télécharger:

Upload.SetMaxSize 100000, True 

Le « vrai » ci-dessus montre que le fichier doit être rejetée si sur la taille maximale. Si la valeur est False, le fichier sera joué.

Voir http://www.aspupload.com/object_upload.html#SetMaxSize

Answer 2

Il existe un excellent composant qui utilise Flash pour télécharger des fichiers. Check it out

http://www.codeproject.com/KB/aspnet/FlashUpload.aspx

Answer 3

Cela semble appliquer la taille du téléchargement de fichier: http://www.aspupload.com/

Je ne sais pas comment il gère.

Answer 4

Si vous utilisez ASP.Net, vous pouvez spécifier une taille maximale de fichier web.config (ou machine.config), et ASP.Net jetteront une erreur après la taille est dépassée le téléchargement. C'est-à-dire, si vous spécifiez une limite de 4Mb, et que quelqu'un essaye de télécharger un 100Mb, .Net se plaindra dès qu'il aura téléchargé plus de 4Mb.

La propriété en question est maxRequestLength, qui accorsing à MSDN « Spécifie la limite du seuil de mise en mémoire tampon de flux d'entrée, en Ko. Cette limite peut être utilisée pour empêcher des attaques par déni de service qui sont causées, par exemple, par utilisateurs qui publient des fichiers volumineux sur le serveur. "

Par exemple.

<configuration> 
    <system.web> 
    <httpRuntime maxRequestLength="4000" .... 

Je ne suis pas sûr s'il existe un équivalent dans l'ASP classique.

Answer 5

Je viens de trouver un article sur la façon de limiter la taille à l'aide d'un paramètre appelé « AspMaxRequestEntityAllowed » dans IIS: http://www.banmanpro.com/support2/File_Upload_limits.asp

Cependant, cela ne fonctionne pas - mon serveur a déjà que la mise à 200k et encore nous sommes en train de télécharger des fichiers 1 Mo ok!

Answer 6

Vous pouvez rejeter les demandes surdimensionnées au niveau IIS avant même d'arriver à votre application en utilisant l'outil UrlScan de Microsoft: http://technet.microsoft.com/en-us/security/cc242650.aspx

Pour IIS 6, il semble que vous pouvez même pas besoin. Vous devriez être en mesure de définir les propriétés de la métabase MaxRequestEntityAllowed et ASPMaxRequestEntityAllowed à la valeur maximale désirée et les demandes seront coupées à ce point.