파일 업로드시 경로순회 문자열 막기(JSP , JAVA)

Question

안녕하세요? 시큐어 코딩 가이드에 보니깐 순회경로(., /) 제거 하라는 가이드가 있는데요.파일명에 기본적으로 '/'를 못붙이잖아요. 그런데 어떤 우회방법을 통해 예를 들어 '/attack.txt'라는 텍스트 파일을 만들었다고 가정하면, 파일 검증을 할 때 파일 이름에 '/'가 붙어있는지 체크하려면 프론트 단에서 일단 할 수 있지만 프론트 단을 우회하기는 쉬우니 백엔드 단에서 해야된다고 생각합니다.그런데 백엔드 단에서 파일 이름을 가져오려면 먼저 multipartRequest를 해야하는데, 그 순간 파일이 업로드 되잖아요. 어떻게 이 딜레마를 해결할 수 있을까요? 백엔드 단에서도 '/'가 있는지 파악하고 싶은 것입니다. 지금은 일단 multiaprt로 받고 특수문자 포함되어있으면 삭제하는데요, '/attack.txt'로 업로드 되면 그 순간 정상적인 경로 밖에 있어서 삭제가 안되는 것 아닌가요??

MungGaeDev · Answer

파일 업로드 전에 메타데이터만 받아서 검사하는 것은 어떤가요?

파일 업로드시 경로순회 문자열 막기(JSP , JAVA)

1개의 답변

Q&A 목록