在子目录中安全地强制执行用户输入文件路径

Question

我知道可靠的安全建议，即避免接受用户输入，然后使用该输入来选择读/写文件的路径。但是，假设您有一个想要保留的基本目录（例如 ftp 文件夹的根目录），那么如何最好地确保给定的用户输入将我们保留在该文件夹中？

例如，

Path.Combine(_myRootFolder, _myUserInput)

仍然可以将我们带到 _myRootFolder 之外。 这也可能是狡猾的

newPath = Path.Combine(_myRootFolder, _myUserInput)
if (newPath.StartsWith(_myRootFolder))
   ... 

考虑到用户提供的类似“/back/to/myrootfolder/../../and/out/again”的内容， 。对此有何策略？我是否缺少一个可以使用的极其明显的 .NET 方法？

Answer 1

在 ASP.NET 应用程序中，您可以使用 Server.MapPath(filename) ，如果生成的路径超出应用程序根目录，它将引发异常。

如果您想要的只是一个安全的文件名，并且您只想要其中的所有文件，那么它会变得更简单；

    FileInfo file = new FileInfo(
        Server.MapPath(
            Path.Combine(@"c:\example\mydir", filename)));

如果您像您指出的那样位于 ASP.NET 之外，那么您可以使用 Path.GetFullPath。

string potentialPath = Path.Combine(@"c:\myroot\", fileName);
if (Path.GetFullPath(potentialPath) != potentialPath)
    // Potential path transversal

或者您调用 Path.GetFullPath，然后检查它的开头是否与您要锁定的目录匹配。

Answer 2

我知道，这个线程已经很老了，但是为了防止后续读者编写具有潜在安全错误的代码，我想我应该指出，使用 Path.Combine(arg1, arg2) 不是当arg2直接基于用户输入时保存。
例如，当 arg2 为“C:\Windows\System32\cmd.exe”时，arg1 参数将被完全忽略，并且您向 API 或服务器应用程序的用户授予完全权限访问整个文件系统。

所以请谨慎使用此方法！

我想出了这个应该（据我所知）安全的解决方案：

    public static string SecurePathCombine(params string[] paths)
    {
        string combinedPath = "";

        foreach (string path in paths)
        {
            string newPath = Path.Combine(combinedPath, path);

            if (!newPath.StartsWith(combinedPath))
                return null;

            combinedPath = newPath;
        }

        if (Path.GetFullPath(combinedPath) != combinedPath)
            return null;

        return combinedPath;
    }

编辑： 现在有一个新的 Path.Join() 方法。请使用该代码而不是上面的代码。

Answer 3

我相信 Path.FullPath 会满足您的需要（但我没有测试这一点）：

string newPath = Path.Combine(_myRootFolder, _myUserInput);
string newPath = Path.FullPath(newPath);
if (newPath.StartsWith(_myRootFolder)) ...

Answer 4

好吧，在您的 FTP 服务器示例中，您应该适当地设置用户主目录和权限，以便他们无法导航出该文件夹。你有什么理由不能这样做吗？

Answer 5

您可以解析输入字符串并使用正则表达式剪切 ../ 。