asp.net-mvc – 上传图片 – 安全

我正在编写电子学习包的管理实用程序.使用此实用程序,教师可以编写他们的课程,添加/上传图像等.

我的问题是关于上传文件时的安全漏洞,特别是图像文件.

以下代码是我上传新图像文件的POST的控制器代码：

[HttpPost]
        public virtual ActionResult StepImage(int CourseId,int StepOrder,HttpPostedFileBase file)
        {
            service.CourseId = CourseId;
            service.StepOrder = StepOrder;
            if (file.ContentLength > 0)
            {
                var fileName = Path.GetFileName(file.FileName);
                var fileExtension = Path.GetExtension(fileName);
                if ((fileExtension == ".jpg") || (fileExtension == ".gif") || (fileExtension == ".png"))
                {
                    service.StoreImageFileName(fileName);
                    var path = Server.MapPath("~/[path to where images are uploaded]/" + service.CourseId + "/");
                    if(!Directory.Exists(path))
                    {
                        Directory.CreateDirectory(path);
                    }
                    file.SaveAs(path + fileName);
                }
                else
                {
                    // Refactor notice : Validation for invalid file extension
                }
            }
            else
            {
                // Refactor notice : Validation for no file chosen
            }

            return RedirectToAction(MVC.Admin.StepEditor.Actions.Edit(CourseId,StepOrder));
        }

您可以从上面的代码中看到我检查文件扩展名并且只允许.jpg,.gif和.png.

问题

>我尝试将文件存储在App_Data文件夹下,但是当Views尝试显示图像时,这会导致403禁止响应.
>所以我把它们放在?/ Images / …

这有安全隐患吗？有人可以上传带有.jpg扩展名的.exe文件并让它执行baddie代码吗？

必须要说的是风险很低,因为只有导师才有权使用上传文件的页面,但你只需要一个心怀不满的导师…或者他们将登录详细信息提供给学生……或者其他.

>该代码中的任何其他安全风险？

PS：

基础知识来自Scott Hanselman和Phil Haack关于使用ASP.NET MVC 2上传文件主题的博客文章：

Phil Haack post

Scott Hanselman post