디렉터리 통과 문제 C#

Question

이미지를 업로드하고 디렉터리에 저장하는 C# 응용 프로그램이 있습니다. 업로드하기 전에 한 이미지 형식을 허용하도록 파일을 검사하고 있습니다. 내가 베라 코드 내 모듈을 테스트입니다 때 디렉토리 탐색 문제 CWE ID 73을 보여줍니다 .. 나는

을 업로드하기 전에 파일 형식을 확인하고 있기 때문에 올바른 경우 확실하지 않다

파일을 업로드 내 코드

if (filebigimage.HasFile) 
{ 
    if ((((((this.filebigimage.PostedFile.ContentType == "image/gif") | (this.filebigimage.PostedFile.ContentType == "image/pjpeg")) | (this.filebigimage.PostedFile.ContentType == "image/jpeg")) | (this.filebigimage.PostedFile.ContentType == "image/jpg")) | (this.filebigimage.PostedFile.ContentType == "image/png")) | (this.filebigimage.PostedFile.ContentType == "image/bmp")) 
         { 
          // string StrBigImageName = (ConfigurationManager.AppSettings["offerImagePath"] + "BigImages/Temp/"); 
          if ((this.filebigimage.PostedFile.ContentType == "image/gif")) 
          { 
           strBigimgformat = ".gif"; 
           objBigImgFormat = System.Drawing.Imaging.ImageFormat.Gif; 
          } 
          else if ((this.filebigimage.PostedFile.ContentType == "image/pjpeg") | (this.filebigimage.PostedFile.ContentType == "image/jpeg") | (this.filebigimage.PostedFile.ContentType == "image/jpg")) 
          { 
           strBigimgformat = ".jpg"; 
           objBigImgFormat = System.Drawing.Imaging.ImageFormat.Jpeg; 

          } 
          else if ((this.filebigimage.PostedFile.ContentType == "image/png")) 
          { 
           strBigimgformat = ".png"; 
           objBigImgFormat = System.Drawing.Imaging.ImageFormat.Png; 
          } 
          filebigimage.SaveAs(Server.MapPath(ConfigurationManager.AppSettings["offerImagePath"] + "BigImages/Temp/") + filebigimage.FileName); 
          strbigimagename = filebigimage.FileName; 
         } 
} 

이하

그럼 난

if (File.Exists(Server.MapPath(ConfigurationManager.AppSettings["offerImagePath"] 
+ "BigImages/Temp/" + strbigimagename))) 
{ 
    File.Move(Server.MapPath("../" + ConfigurationManager.AppSettings["offerImagePath"] + "BigImages/Temp/" 
+ strbigimagename), Server.MapPath("../" + ConfigurationManager.AppSettings["offerImagePath"] + "BigImages/" + strorderid + "_bigimage" + strBigimgformat)); 
} 

가 뭐죠 그것을 잘못 알려 주시기 바랍니다 데이터베이스에 값을 저장하고 행의 ID 번호를 얻고 파일 이름을 생성하고 기본 폴더에 임시에서이 파일을 이동하고 ... 그것은 디렉토리 트래버 설 I에 취약한가요? ssue

Answer 1

사용자 입력 (filebigimage.FileName)을 서버의 파일 이름의 일부로 사용하는 것 같습니다. 이는 보안상의 위험이 있습니다. 파일 이름을 지정하는 다른 방법을 생각해 내야합니다.