网络安全问题？

Question

我的团队被要求“增强”一个web应用程序，以允许以下操作。这被认为是web应用程序中的安全风险吗？我对此不太确定。

能够访问虚拟目录之外的目录，以便将数据导出和导入到数据库

换句话说，请求者希望能够导航到应用程序的IIS虚拟目录之外的任何地方的数据文件，假设是在导入(或导出)数据时。

我认为这意味着在web服务器上，但它可能意味着在客户端机器上的本地文件(需要澄清)。但无论哪种方式，问题都是成立的。

Answer 1

这个问题不适用于“任何一种方式”。它们是不同的问题。如果它是关于能够从本地计算机选择一个文件发送到远程服务器，那么这是非常例行公事的。例如，在将文件附加到电子邮件中时，人们总是这样做。用户是启动文件选择的人，它是他们要发送到web应用程序的文件。这里没有安全漏洞。

如果您需要允许客户端能够浏览服务器计算机上的所有类型的文件，那么这本身就不是一个安全漏洞。这就是你想要的，你得到了。只有当您不是说客户端应该能够从服务器上的任何目录中抓取文件时，它才是一个安全漏洞。整个场景被归类为安全问题，因为您通常不希望客户端能够访问服务器上的所有包含文件。通常，客户端只需要能够访问某些文件。将您限制为虚拟目录是一种方法。例如，您是否希望您的客户能够抓取包含网站所有用户记录的实际DB文件，然后将该DB文件加载到他们自己的DB中？

如果需要更进一步，则需要实现只允许访问特定文件的机制。请记住，您的web服务器是在服务器操作系统上的某个用户的上下文中运行的。当客户端请求到达服务器时，它会通知执行命令的web服务器用户。因此，您不能通过简单地为web服务器用户添加权限来实现安全性。

Answer 2

如果你谈论的是走出web应用程序的边界，那就意味着有风险。一旦您允许特定用户超越您的web应用程序，则该用户可以使用web服务器执行的操作将不再受控制。

看看路径遍历攻击：

https://www.owasp.org/index.php/Path_Traversal

此外，为了避免这种情况，这里列出了一些需要考虑的事情：

https://www.owasp.org/index.php/File_System#Path_traversal

有任何问题，尽管告诉我。

问候，Fabio @fcerullo