Mimes là gì
Hacker đã trở một phần không thể thiếu của thế giới công nghệ. Đó là những cá nhân/tập thể đã xâm nhập vào hệ thống máy tính của những công ty công nghệ, các trang web thương mại, các trường đại học hay thậm chí là cơ quan an ninh, quốc phòng… Và trang web của bạn cũng không tránh khỏi việc hacker ghé thăm. Bằng việc sử dụng một số kiến thức bảo mật cũng như sự bất cẩn của nhà phát triển, người dùng. Website đã bị tấn công và chiếm quyền điều khiển. Mình cũng đã viết một số bài để phòng tránh hacker tấn công các trang web của mình:
II. Nội dung chínhNguyễn Văn Quy @ruacondepzaj Theo dõi 7.4K 233 64 Đã đăng vào Dec 15th, 2020 11:54 a.m. 6 phút đọc 4.5K 3 5 Laravel validate file upload, có phải chỉ validate mimes, mimeTypes là đủ?
I. Lời mở đầuHacker đã trở một phần không thể thiếu của thế giới công nghệ. Đó là những cá nhân/tập thể đã xâm nhập vào hệ thống máy tính của những công ty công nghệ, các trang web thương mại, các trường đại học hay thậm chí là cơ quan an ninh, quốc phòng… Và trang web của bạn cũng không tránh khỏi việc hacker ghé thăm. Bằng việc sử dụng một số kiến thức bảo mật cũng như sự bất cẩn của nhà phát triển, người dùng. Website đã bị tấn công và chiếm quyền điều khiển. Mình cũng đã viết một số bài để phòng tránh hacker tấn công các trang web của mình:
II. Nội dung chính1. Khái niệm mimes, mimeTypes và extension trong file? - Định nghĩa về mimes:
Một số mime phổ biến như: jpg,bmp,png,... - Định nghĩa về mimeTypes:
2. Mối quan hệ giữa các loại mimeType và file .extension là gì?
Lợi dụng việc server "đoán" sự tương ứng (ánh xạ) giữa mimeType và mime. Bằng một số thủ thuật hacker sẽ đổi extension của file để upload lên server thực thi file và chiếm quyền. Ví dụ một file ảnh có tên là hinhanh.png sau đó được đổi thành hinhanh.png.php để thực thi. Dựa vào mineType và extension, server sẽ "đoán" loại tệp và mở một chương trình liên quan đến loại đó và khi mã độc được thực thi thì bạn biết điều gì xảy ra rồi đó. Một số mimeTypes và extension tương ứng: MIME type (lowercased)Extensionimage/jpegjpeg jpg jpeaudio/x-ms-wmawmaXem chi tiết tại: https://svn.apache.org/repos/asf/httpd/httpd/trunk/docs/conf/mime.types 3. Upload file đã bị bypass như thế nào?
Như mình có nói ở trên dựa vào MimeType server sẽ "đoán" được extension của tệp để thực thi. Bạn validate mime, mimeType bản chất chỉ mới validate content-type. Bằng một số tool hacker sẽ đổi extension của file gửi lên, thêm mã độc và bypass vào hệ thống. Trước giờ mình cứ tưởng validate mimes là đã validate phần extension của tệp rồi. Hình bên dưới là hacker sửa nội dung của tệp và đổi extension về đuôi có thể thực thi. 4. Customize validate rule laravel để fix bypass upload file như thế nào? Để chắc chắn rằng hacker không thể bypass khi đổi extension và thực thi trên hệ thống. Ta cần phải validate thêm phần extension trước khi lưu file vào server. Mình có lục tung phần docs của Laravel nhưng không hề thấy có validate phần này. Vậy nên mình đã tự customize như sau: Tự đăng ký một validate rule trong
Sau khi đã đăng ký validate rule ở trên, ta dễ dàng sử dụng validate một cách dễ dàng với tên đăng ký tương ứng. Vậy là xong với việc validate đầy đủ cả mime, mineTypes và extension thì hệ thống upload cũng khá an toàn rồi. |