Seguridad del archivo de Excel del lado del servidor

Question

Seguridad del archivo de Excel del lado del servidor

#1 de Limit (3 votos)
#2 de one (0 votos)

4

Necesito escribir una aplicación que interactúe con los archivos cargados de fuentes no confiables (usuarios). Las especificaciones dicen que debo soportar CSV y Excel. Si permito que un usuario cargue un archivo de Excel en el servidor y maneje la apertura, el procesamiento y el almacenamiento del lado del servidor, ¿qué tipo de problemas de seguridad me estoy abriendo? ¿Qué tipo de mitigaciones puedo aportar al problema o es fundamentalmente desaconsejable? (Para estas preguntas, suponga que la función del servidor web se ejecuta con una cuenta con privilegios mínimos).

Editar aclaración:

En particular, me preocupa el archivo de Excel ... ¿tengo que preocuparme por la ejecución de macros o virus, o por no ser un archivo de Excel? Estaría abriendo esto desde un back-end escrito de C # ... ¿qué riesgo hay al intentar leer esto a través de un intérprete de Excel?

webserver file-upload office

pregunta cocogorilla 21.06.2016 - 00:28

fuente

2 respuestas

Lea otras preguntas en las etiquetas webserver file-upload office

¿Es sensato canalizar el tráfico TLS sobre otro TLS? XSS y Política de seguridad de contenido

score 3 · Answer 1

Puedo pensar en los siguientes escenarios:

Ya que está procesando sus datos y luego realizando una llamada a la base de datos, debe asegurarse de utilizar declaraciones preparadas en su servidor web. Eso se ocupará de todos sus ataques de inyección SQL
Si está presentando los datos en su página web, asegúrese de que está limpiando su información para evitar un ataque XSS almacenado .
Un atacante puede cambiar el orden de las celdas en el archivo CSV para bloquear el servidor. Debe hacer que su código sea independiente del orden de celda en el archivo CSV (es muy fácil de implementar). También es bueno tener una característica

En su caso, debería preocuparse por la codificación segura de su aplicación y por el manejo de diferentes casos de borde en la estructura y el contenido del archivo.
En mi humilde opinión, todos los vectores de ataque aplicables aquí estarán relacionados con los datos presentes en los archivos.

score 0 · Answer 2

Validación de entrada adecuada.
He visto muchas veces que las aplicaciones manejan caracteres especiales en los campos de entrada muy bien, excepto que están presentes en los datos en el archivo de Excel cargado. Asegúrese de que cualquier mensaje de error que muestre para datos no válidos en un archivo de Excel sea un mensaje genérico y no incluya un valor de celda no codificado. De lo contrario, su aplicación será vulnerable a XSS.