ファイルアップロード機能の安全確保

アップロードフォルダのスクリプトと実行権限を拒否する

ユーザーがuploadフォルダの内容を変更できるようにすれば、スクリプトや実行可能プログラムをフォルダに配置する権限も与えられます。これらのスクリプトやプログラムを実行すると、サーバー上で予期せぬ動作を引き起こすことがあります。

これを避けるために、アップロードフォルダ内のスクリプトや実行ファイルを実行する権限を拒否し、ユーザーがアップロードファイルをサーバー側で実行できないようにすることができます。

!注このステップは、設定上コンテンツ作成者が直接アップロードフォルダにファイルを置ける場合のみ必要です。例えば、共有ディレクトリやFTPサーバーを使う場合、コンテンツ作成者は多くのメディアを素早くメディアライブラリに配置できます。

詳細はMicrosoftのウェブサイトをご覧ください。

アップロードフォルダのスクリプト権限と実行権限の両方を拒否するために。

1. インターネット情報サービス(IIS)マネージャーを開きます。

2. 該当ウェブサイトのアップロードフォルダをクリックしてから、IISセクションの下で **「ハンドラーマッピング」**をダブルクリックしてください。

   

3. アクションペインで**「機能権限の編集**」をクリックします。

4. 機能権限編集ダイアログボックスで「スクリプト」と**「実行**」のチェックボックスをクリアし、OKをクリックします。

   

もし設定でコンテンツ作成者が共有ディレクトリやFTPサーバーを使って直接tempフォルダにファイルを置ける場合、tempフォルダのスクリプト権限と実行権限もユーザーに拒否すべきです。

これにより、例えば.aspxファイルがtempフォルダに保存されている場合(カスタムコードなど)などの潜在的なセキュリティ問題を回避できます。

アップロードウォッチャーを無効にしてください

Sitecoreにファイルをアップロードする唯一の方法がメディアライブラリからであることを確保するには、アップロードウォッチャーを無効にしてください。つまり、Sitecoreクライアント内からのみファイルをアップロードでき、アップロードされたファイルをコントロールできます。

アップロードウォッチャーを無効にすると、アップロードフォルダに置かれたファイルは自動的にメディアライブラリにアップロードされません。

アップロードウォッチャーを無効にするには:

• web.configファイルを開き、<system.webServer>8セクションから以下の文字列を削除してください :

ユーザーが特定のファイル形式をアップロードするのを防ぐ

.exeや.dllなどの特定のファイル形式を完全にコントロールし、アップロードを防ぎたい場合は、アップロードフィルターツールを利用できます。