Безопасно ли загружать docx файлы пользователей на сервер?

Question

[evomed]

Пользователь может загрузить docx файл в Ларавел проекте и потом прочитать его с помощью гугл просмотрщика документов. Т.е. файл доступен публично. Это безопасная история для сервера (с тз вредоносного кода или что там может быть) или стоит хранить такие файлы в облаке?

Answer 1

[rPman]

Да, для сервера безопасно хранить документы и даже вирусы.

Любой злонамеренный код, что бы заработать, должен быть запущен а документ открыт в просмотрщике, уязвимом к заложенной уязвимости.

p.s. что бы исключить запуск вируса по ошибке администратором сервера, файлы можно хранить на диске с 'техническими' именами (например числовой идентификатор из базы), так как подавляющее большинство приложений (файловые менеджеры, интерфейсы ОС и т.п.) ожидают нужное расширение (часть имени файла с конца с точкой, например ".exe" или в твоем случае ".docx") и/или атрибут файловой системы (linux "x" для скриптов и бинарных файлов)

Comments

[evomed]

Все файлы переименовываю, а сейчас ещё сделаю, чтобы хранились приватно

[evomed]

PHPOffice ещё использую для извлечения текста. С этим может быть проблема?

[rPman]

evomed, не должно, маловероятно, что кто то будет ориентировать свой вирус на такой непопулярный инструмент, да и макросы это не поддерживает, так что тут высокая надежность

[alexalexes]

evomed,, сегодня PHPOffice не понимает макросы, а когда обновите в будущем - возможно, будет понимать, вот тут и приехали.
Вам нужно в отдельном контейнере запускать PHPOffice, только для этого и предназначенного.
Если он заразится, то ничего страшного, просто восстановить контейнер с репозитория.
Лучше такие сервисы держать отдельно, если заботитесь о безопасности.

[rPman]

alexalexes, не пугайте человека, может они правильную реализацию макросов сделают, тем более это не так сложно как кажется

майкрософт просто имея миллиарды кеша не осилили простую песочницу

[alexalexes]

rPman, создатели библиотеки скорее пойдут простым путем - перекомпилят макрос в псевдо php и заведут инструкции в eval. Создать отдельный интерпретатор - это как три библиотеки рядышком написать.

[rPman]

alexalexes, сейчас никто 'не создает', все берут готовый код и используют

https://github.com/phpv8/v8js
c visual basic сложнее, есть решения для rust, есть twinbasic для llvm и т.п. а вот для php я с ходу не нашел, поэтму маловероятно что разработчики в принципе займутся реализацией бардака от майкрософт в своей библиотеке

[ProjectSoft]

evomed,

Все файлы переименовываю, а сейчас ещё сделаю, чтобы хранились приватно

Нахрена такая чушь?
Настройте правильно .htaccess для данной директории. docx или doc - это не исполнительные файлы и в данном виде они для сервера просто безопасны. Просто для уверенности настройте запрет запуска php в директории и всё.

[evomed]

ProjectSoft, для уверенности и настраиваю. И еще чтобы приватными были

[Vitsliputsli]

rPman,

alexalexes, не пугайте человека, может они правильную реализацию макросов сделают, тем более это не так сложно как кажется

майкрософт просто имея миллиарды кеша не осилили простую песочницу

Его не пугают, вопрос про безопасность, а значит нужно отвечать точно. Если никто не будет открывать эти файлы на сервере, то сервер в безопасности, в отличии от клиента. Если будет, то уже нет.
"Может правильно сделают" - это не про безопасность, а после того как в Microsoft решили, что встраивать вирусы в картинки - это хорошая идея, надеяться на компетентность или хотя бы адекватность разработчиков любого софта очень наивно.
А уже как быть, решать автору вопроса.

[evomed]

Vitsliputsli, да, в итоге вынес эту обработку за пределы сервера

Answer 2

[Сергей Горностаев]

Если для вас эти документы просто файлы и вы их никак не обрабатываете, то для сервера безопасно.

Comments

[evomed]

Я валидирую текст файла, а для этого извлекаю его с помощью PHPOffice

[Сергей Горностаев]

evomed, ничего не знаю про PHPOffice, но обработка может быть потенциально опасна. Например, нас однажды безопасники взгрели при аудите за то, что библиотека при считывании doc-файлов подгружала ресурсы из этого файла, что давало злоумышленнику возможность выполнять неавторизованные запросы с наших серверов.

Answer 3

[Adamos]

Уязвимости воздушно-капельным путем не передаются.
Если документ заражен - это проблема того, кто его откроет уязвимой библиотекой. У себя на компьютере.
Сервер тут ну вообще ни при чем.

Comments

[evomed]

На сервере я ещё открываю файл PHPOffice для извлечения текста в процессе загрузки

[Adamos]

evomed, дыры в офисных форматах обычно в скриптах.
PhpOffice их не исполняет, насколько я знаю.
Вот если бы вы headless libreoffice запускали для конвертации, например - тогда риск есть.

Answer 4

[mayton2019]

Хранить можно все что угодно. Это нормально. Другое дело что перед процессингом
документа очень желательно прогнать антивирусом каждый файл хотя-б один раз.

С точки зрения современной инфо-безопасности docx является опасным. Макросы...
И даже если вы не будете открывать этот файл в Windows а только в pHPOffice - все
равно подстраховаться надо.

Answer 5

[koder_1]

Если на сервере хранить загружаемые документы вне разделов, в которых допустима работа php-скриптов, то для сервера безопасно.

Опасность для сервера от документов в том, что можно в документ с любым расширением положить php-скрипт, к примеру, если документ будет лежать там, где php-исполнять запрещено, то в таком случае безопасно.

Answer 6

[Дядька Серёжа]

Насколько помню, там есть макросы на питоне даже. Сегодня нет сл3чацно обработки, завтра может появиться и то6жа случа1но какой-нибудь процесс запустить файл.