安全でないアーカイブのパスや階層を確認する

アーカイブ内の名前には深い階層、重複するベース名、バックスラッシュ、制御コード、階層をさかのぼるようなパス要素が含まれる場合があります。dosyaは表示するツリーを処理し、ディレクトリのインデックスで操作対象を指定します。

始める前に

• 可能であれば、想定されるパッケージの構成を送信者から入手してください。
• 信頼できない内容のダウンロードには隔離したローカルフォルダーを使用してください。アーカイブビューアーに表示されたという理由だけで、不明な実行ファイルを開かないでください。
• 「dosya」に保存は新しいクラウドオブジェクトを作成し、ダウンロードはローカルコピーを作成します。

手順

1. アーカイブを開き、フォルダーを少しずつ展開します。末尾のファイル名だけでなく、階層全体を比較します。
2. 同じ階層にある想定外の項目、重複名、埋め込まれたアーカイブ、実行ファイルの拡張子、圧縮前後のサイズの大きな差がないか確認します。
3. 正規化された表示を確認します。\は/になり、空の要素、.、..は消え、制御文字と双方向書式文字は除去されます。親のレコードが存在しない場合、フォルダーが推定されることがあります。
4. 処理済みのパスとサイズが目的の項目に一致する行だけを選択します。dosyaはクライアントが指定した展開パスではなく、数値のディレクトリインデックスを項目のエンドポイントに送信します。
5. 対応する内容は先にプレビューします。代替手段としてこのファイルをダウンロードが表示された場合は、隔離したフォルダーに保存し、別の場所に移す前に適切なローカルツールでスキャンまたは確認してください。

dosyaのパス処理でできることとできないこと

数値のインデックスを使うことで、../../report.pdfのように細工されたパス名によってサーバー側の項目や保存先が選ばれるのを防ぎます。dosyaへの保存時には、選択した保存先フォルダーが別途指定され、サーバーが生成されるファイル名を検証します。これらの制御はビューアーを介したパストラバーサルを防ぎますが、データが無害であることは保証しません。

フォルダーの展開では、対象ファイルの確認済みの階層が保持され、暗号化された項目や非対応のZIP圧縮方式の項目はスキップされます。キャンセルや後続の失敗があっても、それ以前に保存されたファイルが自動的に取り消されることはありません。フォルダー全体の保存は対象ファイル500件までです。不明なパッケージでは、確認した項目を1件ずつ保存してください。

結果

処理済みのツリーのどの行が目的の項目に対応するか、またプレビュー、ダウンロード、保存を安全に行えると判断した理由を説明できます。確認によって元のアーカイブや信頼済みのローカルファイルが変更されることはありません。

関連ガイド

• アーカイブのフォルダーツリーを確認する
• アーカイブ内の項目をdosyaに保存する