Проверьте, не является ли исходное содержимое файлов скриптом или exe-содержимым

Question

Я работаю над загрузкой и загрузкой файлов веб-приложения с помощью API .net mvc C # и прочитал этот ответ , чтобы рассмотреть некоторые моменты безопасности файлов, и у меня есть два вопроса:

1. Согласно типам файлов , в частности, это утверждение

   Лучше всего, если приложение использует поиск реального контента для поиска out, если загруженный файл действительно является допустимым типом файла.

   Я хочу проверить, загружает ли пользователь .exe, .dll или «html, содержащий код js»
   файл как переименованный текстовый файл, но я не знаю, как это сделать.

2. Согласно Содержание нюхает пункт, я добавил

   X-Content-Type-Options: nosniff

   К моему файлу api web.config течет этот Ответ но когда я загружаю html-страницу, включая код java-скрипта, она загружается и загружается без каких-либо перерывов, как запретить моему приложению загружать и скачивать файлы такого типа.

Answer 1

Здесь есть множество идей (теоретических и практических):

https://security.stackexchange.com/questions/160129/c-malicious-file-upload-to-server https://www.computerweekly.com/answer/File-upload-security-best-practices-Block-a-malicious-file-upload

Лично я бы предложил внести в белый список расширения, которые будут разрешенызагружать вместо черного списка потенциально опасные расширения.