File upload vulnerabilities

/// <summary>/// Bốn quyết định, và mỗi cái đóng một họ lỗ hổng khác nhau://////   1. Tên do SERVER sinh (UUIDv7, không phần mở rộng) → xoá path traversal và///      xoá luôn khả năng ghi đè file có sẵn. Tên của client vào DB làm metadata.///   2. Lưu NGOÀI webroot → không có URL nào để web server chạy file.///   3. DECODE thật rồi RE-ENCODE → file lưu là file ta tạo, không phải file kẻ///      tấn công gửi. Đây là bước xoá polyglot và payload trong EXIF.///   4. Ba trần (kích thước, pixel, timeout) → DoS không cần lỗ hổng nào./// </summary>public sealed class AvatarService{    // Allowlist, không blocklist. Bảng ở khối 3 cho thấy blocklist không bao giờ đủ dài.    private static readonly Dictionary<string, byte[]> MagicBytes = new()    {        ["image/png"]  = [0x89, 0x50, 0x4E, 0x47],        ["image/jpeg"] = [0xFF, 0xD8, 0xFF],        ["image/webp"] = [0x52, 0x49, 0x46, 0x46],   // "RIFF"    };     private const long MaxBytes = 5L * 1024 * 1024;    private const int MaxPixels = 8000 * 8000;        // trần cho decompression bomb    private const int OutputSize = 256;     private readonly IBlobStore _blobs;              // /var/data/blob hoặc R2, KHÔNG phải wwwroot     public AvatarService(IBlobStore blobs) => _blobs = blobs;     public async Task<Guid> StoreAsync(IFormFile file, CancellationToken ct)    {        if (file.Length is 0 or > MaxBytes)            throw new ApplicationGeneralException(ContentErrorsList.INVALID_SOURCE, "File too large");         await using var input = file.OpenReadStream();         // Magic byte: kiểm nội dung, KHÔNG kiểm ContentType của client. Đây chỉ là        // bước chặn sớm cho thông báo lỗi tử tế — bước thật sự chứng minh là decode.        var head = new byte[8];        await input.ReadExactlyAsync(head.AsMemory(0, 8), ct);        input.Position = 0;         if (!MagicBytes.Any(m => head.Take(m.Value.Length).SequenceEqual(m.Value)))            throw new ApplicationGeneralException(ContentErrorsList.INVALID_SOURCE, "Not a supported image");         using var cts = CancellationTokenSource.CreateLinkedTokenSource(ct);        cts.CancelAfter(TimeSpan.FromSeconds(10));   // decoder chạy lâu cũng là DoS         // Đọc HEADER trước để biết số pixel, TRƯỚC KHI decode toàn bộ. Một PNG        // 50000×50000 nặng 40KB trên đĩa và cần ~10GB RAM khi decode — trần kích        // thước ở trên cho nó đi qua, và trần này là thứ chặn nó.        var info = await Image.IdentifyAsync(input, cts.Token);        if ((long)info.Width * info.Height > MaxPixels)            throw new ApplicationGeneralException(ContentErrorsList.INVALID_SOURCE, "Image dimensions too large");        input.Position = 0;         // DECODE THẬT. Đây là bước phân biệt "file bắt đầu bằng GIF89a" với "file        // là một ảnh": GIF89a;<?php …?> qua được magic byte và chết ở đây.        using var image = await Image.LoadAsync(input, cts.Token);         image.Mutate(c => c.Resize(new ResizeOptions        {            Size = new Size(OutputSize, OutputSize),            Mode = ResizeMode.Crop,        }));         // RE-ENCODE và bỏ bản gốc. Bước mạnh nhất và hay bị bỏ: mọi thứ không phải        // pixel biến mất — payload trong EXIF, polyglot, <script> trong SVG. File        // lưu xuống là file CHÚNG TA tạo.        var output = new MemoryStream();        await image.SaveAsPngAsync(output, cts.Token);        output.Position = 0;         // Tên do server sinh, KHÔNG phần mở rộng. Không có ký tự nào của client đi        // vào đường dẫn, nên path traversal không có chỗ tồn tại.        var id = UuidV7.NewGuid();        await _blobs.PutAsync($"avatar/{id:N}", output, "image/png", ct);         // Tên của client được lưu ở đây — như DỮ LIỆU, để đặt Content-Disposition        // lúc tải về. Nó không bao giờ chạm tới filesystem.        await _avatars.RecordAsync(id, originalName: file.FileName, "image/png", ct);         return id;    }} // ── Phục vụ file: header do CHÚNG TA đặt ─────────────────────────────────────[HttpGet("/api/files/{id:guid}")]public async Task<IActionResult> Get(Guid id, CancellationToken ct){    var meta = await _avatars.FindAsync(id, ct);    if (meta is null) throw new NotFoundException(ContentErrorsList.FILE_NOT_FOUND);     // nosniff: không có nó, trình duyệt có thể tự đoán kiểu và đoán ra text/html.    Response.Headers["X-Content-Type-Options"] = "nosniff";    // sandbox: kể cả khi có gì lọt qua, nó chạy trong một origin rỗng.    Response.Headers["Content-Security-Policy"] = "sandbox; default-src 'none'";     var stream = await _blobs.GetAsync($"avatar/{id:N}", ct);     // ContentType từ KẾT QUẢ KIỂM của ta, không copy lại từ request lúc upload.    return File(stream, meta.ValidatedContentType);}

import ioimport uuidfrom pathlib import Path from PIL import Image # NGOÀI static_folder. Flask không phục vụ thư mục này, nên không có URL nào tới# được file trực tiếp — và không có gì chạy được nó.BLOB_DIR = Path("/var/data/blob") MAX_BYTES = 5 * 1024 * 1024MAX_PIXELS = 8000 * 8000OUTPUT_SIZE = 256 ALLOWED = {"PNG", "JPEG", "WEBP"}   # định dạng Pillow NHẬN DIỆN, không phải phần mở rộng  class UnsafeUpload(Exception):    pass  def store_avatar(stream, original_name: str) -> str:    data = stream.read(MAX_BYTES + 1)    if len(data) > MAX_BYTES:        raise UnsafeUpload("file too large")     # Pillow có trần pixel riêng và nó ném DecompressionBombError — nhưng đặt tường    # minh vì mặc định của nó đổi giữa các phiên bản, và một trần ta không kiểm soát    # là một trần ta không biết là bao nhiêu.    Image.MAX_IMAGE_PIXELS = MAX_PIXELS     try:        # verify() đọc header và kiểm tính toàn vẹn — đây là bước giết polyglot:        # "GIF89a;<?php …?>" qua được magic byte và chết ở đây.        probe = Image.open(io.BytesIO(data))        probe.verify()        if probe.format not in ALLOWED:            raise UnsafeUpload(f"format not allowed: {probe.format}")         # verify() làm file object không dùng lại được — mở lần hai để decode thật.        img = Image.open(io.BytesIO(data))        img = img.convert("RGB")        img.thumbnail((OUTPUT_SIZE, OUTPUT_SIZE))    except (Image.DecompressionBombError, Image.UnidentifiedImageError, OSError) as e:        raise UnsafeUpload("not a supported image") from e     # RE-ENCODE: mọi thứ không phải pixel biến mất. File lưu là file TA tạo.    out = io.BytesIO()    img.save(out, format="PNG")     # Tên do server sinh, không phần mở rộng. Tên của client vào DB làm metadata.    blob_id = uuid.uuid4().hex    (BLOB_DIR / blob_id).write_bytes(out.getvalue())    record_avatar(blob_id, original_name=original_name, content_type="image/png")     return blob_id