Datei-Uploads von Nutzern validieren, speichern und ausliefern

Ziel

Nutzern erlauben, Dokumente oder Bilder hochzuladen, ohne ihnen die Möglichkeit zu geben, Code auf dem Server auszuführen, Skripte einzuschleusen, die in den Browsern anderer Nutzer laufen, oder die Festplatte zu füllen.

Voraussetzungen

Eine Liste der Dateitypen, die das Feature tatsächlich benötigt; ein Speicherort, von dem der Webserver nicht ausführt; ein Grössenbudget pro Datei und pro Nutzer.

Schritte

1. Für Uploads Authentifizierung verlangen und sie pro Nutzer ratenbegrenzen.
2. Die Endung nach dem Dekodieren des Dateinamens gegen eine Erlaubnisliste ausschliesslich der benötigten Typen prüfen; das zitierte OWASP-Cheat-Sheet nennt doppelte Endungen (.jpg.php) und Nullbytes (.php%00.jpg) als Umgehungen naiver Filter und bezeichnet Sperrlisten für sich allein als schwach.
3. Den Inhalt prüfen: Das Cheat-Sheet hält fest, dass dem Content-Type des Clients nicht zu trauen ist; die Dateisignatur (Magic Bytes) gegen den erwarteten Typ prüfen und Bilder über eine Bildbibliothek neu kodieren, damit eingebettete Payloads zerstört werden. Archive ablehnen, ausser das Feature dreht sich um Archive – dann mit Pfadprüfungen extrahieren und ein Grössenlimit nach der Dekomprimierung setzen.
4. Den Dateinamen des Nutzers für die Speicherung verwerfen; unter einer zufälligen Kennung (einer UUID) speichern und den Originalnamen nur als längen- und zeichenbeschränkte Metadaten für die Anzeige aufbewahren.
5. Das Grössenlimit am Webserver und in der Anwendung durchsetzen; bei verarbeiteten Dateien die dekomprimierte Grösse zählen.
6. Ausserhalb des Web-Roots oder auf einem separaten Host mit Dateisystemrechten nach dem Prinzip der geringsten Berechtigung und ohne Ausführungsbit speichern; das Cheat-Sheet reiht einen separaten Host vor «ausserhalb des Web-Roots» ein.
7. Über einen Anwendungs-Handler ausliefern, der die Kennung auf die Datei abbildet, die Berechtigung prüft, Content-Type aus dem eigenen Datensatz setzt (nie aus der Datei), X-Content-Type-Options: nosniff sowie Content-Disposition: attachment; filename="..." (MDN, zitiert) – ausser eine Inline-Anzeige ist für einen als unschädlich bekannten Typ nötig.
8. Wo eine Inline-Anzeige nötig ist (Bilder, PDFs), von einem separaten Ursprung mit restriktiver Content Security Policy ausliefern, damit eine Datei, die sich als HTML oder SVG mit Skript entpuppt, nicht auf die Cookies des Hauptursprungs zugreifen kann.
9. Mit einem Antivirenprogramm oder Hash-Reputationsdienst scannen, wenn die Dateien weiterverteilt werden, und Nutzern eine Möglichkeit geben, Inhalte zu melden.

Erwartetes Ergebnis

Eine hochgeladene .php-, .html- oder Polyglot-Datei wird als undurchsichtiger Blob unter zufälligem Namen gespeichert, nie ausgeführt und als Download oder von einem isolierten Ursprung aus ausgeliefert.

Grenzen und Prüfbasis

Folgt den zitierten Quellen; es wird keine Messung beansprucht. Signaturprüfungen allein sind umgehbar und bilden nur eine von mehreren Schichten. SVG und PDF können Skript enthalten und brauchen die Behandlung über einen separaten Ursprung oder eine Konvertierung. Dateien in der Datenbank zu speichern ist möglich, verschiebt aber die Last- und Backup-Problematik dorthin.

Der Download-Dateiname stammt aus dem validierten Typ

Der Originaldateiname ist ein Metadatum, und seine Endung darf nicht unverändert in den Header Content-Disposition gelangen: Die Endung in diesem Header entscheidet, was das Betriebssystem des Empfängers mit der Datei macht, und ein beim Upload gespeicherter Name wie report.pdf.exe oder invoice.html wird nach dem Download lokal ausgeführt oder gerendert, wo nosniff nicht mehr greift. Den ausgelieferten Namen aus dem eigenen Datensatz bilden: den Basisnamen des Nutzers nur übernehmen, wenn er eine Zeichen-Erlaubnisliste und ein Längenlimit besteht, die kanonische Endung für den validierten Typ anhängen und den Header gemäss RFC 6266 kodieren (filename*=UTF-8''... für Nicht-ASCII, mit entfernten Anführungszeichen und Steuerzeichen). Mit einem Upload testen, dessen Originalname eine doppelte Endung trägt, und bestätigen, dass der Download unter dem gewählten Namen ankommt.