Автоматическая загрузка и распаковка архива (zip, rar, targz, tarbz) - проблема с безопасностью?

Помимо возможности использования системы с такими вещами, как переполнение буфера, если это не реализовано тщательно, могут возникнуть проблемы, если вы вслепую извлечете хорошо созданный сжатый файл с большим файлом с избыточными шаблонами внутри (zip-бомба). Сжатая версия очень мала, но при извлечении она займет весь диск, что приведет к отказу в обслуживании и, возможно, к сбою системы.

Кроме того, если вы не будете достаточно осторожны, клиент может передать zip-файл с исполняемым содержимым на стороне сервера (.php, .asp, .aspx, ...) внутри и запросить файл через HTTP, что при неправильной настройке может привести к выполнение произвольного кода на сервере.

В дополнение к ответу Медрдада: размещение пользовательского контента немного сложно. Если вы размещаете zip-файл, то его можно использовать для хранения файлов классов Java (также используемых для других форматов), и, следовательно, «политика одного и того же происхождения» может быть нарушена. (Была атака GIFAR, когда zip был прикреплен к концу другого файла, но это больше не работает с Java PlugIn / WebStart.) Файлы изображений должны быть по крайней мере проверены, что они на самом деле являются файлами изображений. Очевидно, существует проблема с веб-браузерами, имеющими уязвимости переполнения буфера, и теперь ваш сайт может быть использован для атаки ваших посетителей (это может сделать вас непопулярными). Вы можете найти программное обеспечение на стороне клиента, использующее, скажем, регулярные выражения для передачи данных, поэтому данные в середине файла изображения могут быть выполнены. Zip-файлы могут иметь непристойные имена (например, обход каталога с ../ и странными символами).

Что делать (не обязательно исчерпывающий список):

• Размещайте файлы, предоставленные пользователем, в совершенно другом домене.
• Домен с пользовательскими файлами должен использовать разные IP-адреса.
• Если возможно, декодируйте и перекодируйте данные.
• Есть еще один вопрос о переполнении стека для zip-бомб - я предлагаю распаковать с помощью ZipInputStream и останавливаться, если он становится слишком большим.
• Там, где собственный код касается пользовательских данных, делайте это в chroot-тюрьме.
• Белый список символов или полностью заменить имена файлов.
• Потенциально вы можете использовать IDS некоторого описания для сканирования подозрительных данных (я действительно не знаю, сколько это делается - убедитесь, что ваша IDS не написана на C!).