Sicherheit von Webanwendungen · Middle · Frage 67 von 75
Wie verhindert man Path Traversal in einem Endpunkt zum Herunterladen von Dateien?
res.sendFile(path.join(UPLOADS, req.query.name));- 1Pfad auflösen und prüfen, dass er in
UPLOADSliegt - 2Das Wort
..einmal perreplaceentfernen - 3Nur Dateinamen erlauben, die auf
.pdfenden
Antwort zeigen
Richtige Antwort: Pfad auflösen und prüfen, dass er in UPLOADS liegt
Erklärung
../../etc/passwd und kodierte Varianten verlassen den Ordner. Den aufgelösten absoluten Pfad zu prüfen oder ganz auf Nutzerpfade zu verzichten ist zuverlässig.