proto.lib

Malicious File Upload: validate nội dung thật, không phải tên hay claim

Một file upload đáng ngờ có thể mang nội dung không khớp với loại nó tự khai (đuôi file hoặc Content-Type do client gửi), nhằm được server thực thi, được trả về với content type nguy hiểm, hoặc khai thác lỗi trong một parser; phòng thủ đúng là kiểm tra nội dung thật, lưu ngoài web root với tên do server sinh, và phục vụ từ origin riêng với Content-Disposition ép tải xuống.

SecurityTrung bình2026-08-25
Malicious File Upload: validate nội dung thật, không phải tên hay claim

Tags

#file-upload#content-validation#magic-bytes#malware-scanning#content-disposition#sandboxing

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityNâng cao

Server-Side Template Injection (SSTI)

Khi một chuỗi do người dùng cung cấp bị nối trực tiếp vào SOURCE của template (chứ không phải truyền vào như DATA), template engine sẽ coi nó là biểu thức cần đánh giá — kẻ tấn công thoát khỏi ngữ cảnh dữ liệu để đạt được thực thi biểu thức, và thường từ đó leo lên thực thi mã tuỳ ý.

#ssti#template-injection#rce#input-validation
SecurityTrung bình

OS Command Injection: shell an toàn bằng argument array

Truyền một chuỗi cho shell nghĩa là shell sẽ diễn giải các ký tự đặc biệt trong đó; một dấu chấm phẩy hay backtick trong input người dùng biến thành lệnh thứ hai. Cách phòng đúng là thực thi binary trực tiếp bằng argument array (không qua shell), kèm allowlist cho phần chọn chương trình hoặc cờ.

#command-injection#shell-injection#argument-array#execve
SecurityCơ bản

Lockfile là hàng rào cung ứng: integrity, npm ci và audit PR

package-lock.json không chỉ ghi số phiên bản mà còn ghi resolved URL và integrity hash sha512 của từng tarball; npm ci từ chối cài khi lệch lock, còn reviewer cần soi resolved URL lạ và chặn script cài đặt tuỳ tiện để đóng các đường tiêm mã qua chuỗi cung ứng npm.

#npm#lockfile#supply-chain#integrity-hash