防止ASP.NET页面在子文件夹中执行

Question

我有一个dotnet站点，其中包含一个虚拟目录（/ ArticleImages），该目录映射到另一台服务器上的文件共享。 文件共享可供许多人访问，因此，出于安全考虑，我不希望在此文件夹中执行任何asp.net页（例如，将default.aspx放入文件共享中并浏览到site.com/ArticleImages /default.aspx应该不起作用，或者最好是作为简单下载而不是执行）。

我正在使用IIS 6.0并添加了虚拟目录。 如果我从此文件夹中删除该应用程序，它将使用父应用程序，并抱怨它无法读取web.config。 如果我将应用程序添加到此文件夹，即使删除所有应用程序扩展名，它也会抱怨svc-xyzzy（用于访问共享的帐户）无权访问“ C：\\ WINDOWS \\ Microsoft.NET \\ Framework \\ v2.0.50727 \\ ASP.NET临时文件”。

如何在不执行dotnet代码的应用程序中创建子文件夹？

Answer 1

如果用户可以读取文件共享，并且您的应用程序池在（默认情况下为“网络服务”）下运行，则可以完全删除虚拟目录并创建一个ASP.NET应用程序，该文件会将文件流式传输到浏览器。 如果您使用的是MVC，则只是返回文件结果。 这还有一个好处，就是您将能够限制用户下载文件。 即，您可以要求用户登录或具有一定的权限才能下载文件。 还要确保测试路径遍历，不要让用户输入../../filename下载不允许的文件。

选项1：ASP.NET MVC

public ActionResult Download(string file)
{
    // Check for directory traversal attack
    if(file.IndexOf('\\') > -1 || file.IndexOf('/') > -1)
    {
        return new HttpNotFoundResult();
    }

    file = System.IO.Path.Combine("\\FILE_SHARE_FOLDER\\", file);

    if(!System.IO.File.Exists(file))
    {
        return new HttpNotFoundResult();                
    }

    return this.File(file, GetMimeType(file));
}

选项2：网络表单

private void DownloadFile(string file)
{
    // Check for directory traversal attack
    if(file.IndexOf('\\') > -1 || file.IndexOf('/') > -1)
    {
        Response.StatusCode = 404;
        Response.End();
    }

    file = System.IO.Path.Combine("\\FILE_SHARE_FOLDER\\", file);

    if (!System.IO.File.Exists(file))
    {
        Response.StatusCode = 404;
        Response.End();
    }

    Response.ContentType = GetMimeType(file);
    Response.TransmitFile(file);
}

注意您将需要一个方法来获取MVC和Webforms的MIME类型 （ 来自KodeSharp的MIME类型方法 ）

private string GetMimeType(string fileName)
{
    string mimeType = "application/unknown";
    string ext = System.IO.Path.GetExtension(fileName).ToLower();
    Microsoft.Win32.RegistryKey regKey = Microsoft.Win32.Registry.ClassesRoot.OpenSubKey(ext);
    if (regKey != null && regKey.GetValue("Content Type") != null)
        mimeType = regKey.GetValue("Content Type").ToString();
    return mimeType;
} 

Answer 2

您可以在global.asax检查请求，如果来自不允许的目录，则停止处理为：

protected void Application_BeginRequest(Object sender, EventArgs e)
{
    string cTheFile = HttpContext.Current.Request.Path;

    if(cTheFile.StartsWith("/articleimages", StringComparison.CurrentCultureIgnoreCase)
    {
        HttpContext.Current.Response.TrySkipIisCustomErrors = true;
        HttpContext.Current.Response.Write("Please start from home page");
        HttpContext.Current.Response.StatusCode = 403;
        HttpContext.Current.Response.End();
        return ;
    }   
}

当然，您可以简单地在目录中放置一个额外的web.config ，其中包含以下内容：

<configuration>
    <system.web>
      <authorization>
        <deny users="*" />
      </authorization>
    </system.web>
</configuration>

但如果他们可以删除，则该代码就没有用。