Djangoファイルパターンを確認する

Question

Python 3.4を実行しているDjango 1.8でファイルアップロードを制限する方法を実装しています。

基本的に、アップロード時にファイルのMIMEタイプを確認するには、mimetypesを使用します。しかし、ファイル名をbad_image.exeからbad_image.exe.jpgに変更すると、MIMEタイプはまだimage/jpegです。これは依然として悪意のある攻撃につながる可能性があります。

これを実際に実装する方法はありますか？

Answer 1

MIMEタイプのブラックリストを禁止に設定することで、逆のチェックを実行する可能性があります。次に、これらのMIMEタイプのそれぞれについて、例えば、

mimetypes.guess_all_extensions('application/x-msdownload') 

悪意のある拡張子のリストを生成し、アップロードされたファイル名で検索することができます。

警告。

悪意のあるアップロードから守るためにファイル名とMIMEタイプに依存するのはnot safe practiceです。少なくとも、別のドメインにあるサンドボックス化したユーザーのアップロードは、防御を通過してサイトを攻撃する悪意のあるコードを防ぎます。