https://webhosting-glossar.de/index.php?action=history&feed=atom&title=Sichere_Datei-Uploads_in_Webanwendungen 2026-11-04T20:52:30Z Versionsgeschichte dieser Seite in HOSTING-STATION55 - Webhosting Wiki / FAQ MediaWiki 1.34.1 https://webhosting-glossar.de/index.php?title=Sichere_Datei-Uploads_in_Webanwendungen&diff=730&oldid=prev 2026-09-20T20:07:40Z

<p>Ausführlichen Kundenleitfaden ergänzt</p> <p><b>Neue Seite</b></p><div>Datei-Uploads verbinden nicht vertrauenswürdige Benutzerdaten mit dem Serverdateisystem. Eine Prüfung nur anhand der Dateiendung oder des vom Browser gemeldeten Content-Type reicht nicht aus.<br /> <br /> == Schutzmaßnahmen ==<br /> <br /> * nur geschäftlich benötigte Dateitypen erlauben<br /> * Endung, tatsächlichen Dateityp und Dateistruktur prüfen<br /> * Größen-, Pixel-, Seiten- und Mengenlimits setzen<br /> * serverseitig einen zufälligen Dateinamen vergeben<br /> * ursprünglichen Namen nur als bereinigte Metadaten behalten<br /> * Uploads außerhalb ausführbarer Webverzeichnisse speichern<br /> * Ausführung von Skripten im Uploadbereich verhindern<br /> * Zugriff und Download serverseitig autorisieren<br /> * bei erhöhtem Risiko Malwareprüfung oder sichere Konvertierung einsetzen<br /> <br /> == Sicherer Ablauf ==<br /> <br /> # Prüfen Sie Anmeldung und Berechtigung vor Annahme der Datei.<br /> # Begrenzen Sie Anfrage und Datei, bevor große Daten vollständig verarbeitet werden.<br /> # Speichern Sie zunächst in einem nicht öffentlichen Quarantänebereich.<br /> # Prüfen Sie Typ und Inhalt mit geeigneten Bibliotheken.<br /> # Erzeugen Sie den internen Dateinamen selbst.<br /> # Verschieben Sie nur akzeptierte Dateien in den endgültigen Speicher.<br /> # Liefern Sie Downloads mit korrektem Content-Type und sicherer Inhaltsdisposition aus.<br /> <br /> == Häufige Fehler ==<br /> <br /> ; Doppelte Endung<br /> : Namen wie &lt;code&gt;bild.jpg.php&lt;/code&gt; dürfen nicht anhand des ersten Bestandteils akzeptiert werden.<br /> <br /> ; SVG oder HTML als Bild<br /> : Diese Formate können aktive Inhalte enthalten und brauchen eine eigene Sicherheitsentscheidung.<br /> <br /> ; Originalname wird als Pfad verwendet<br /> : Pfadbestandteile und Sonderzeichen können zu Überschreiben oder Path Traversal führen.<br /> <br /> == Verwandte Artikel ==<br /> <br /> * [[Sicherheit eigener Webanwendungen - OWASP-Grundlagen]]<br /> * [[Dateirechte und HTACCESS sicher verwalten]]<br /> * [[Protokolldaten, Aufbewahrung und Datenschutzvorfälle]]<br /> <br /> [[Category:Entwicklung und Deployment]]<br /> [[Category:Sicherheit und Kontoschutz]]</div>

Station55