David Esteban

El formulario de subir archivos es la puerta más fácil de convertir en RCE. Y casi nadie lo valida bien. Checklist para que tu upload no te cueste el servidor: 1. No confíes en la extensión ni en el Content-Type. El navegador los manda y el atacante también. Valida el tipo real leyendo los magic bytes del archivo. 2. Renombra el archivo tú mismo. Genera un nombre aleatorio y guarda el original aparte. Nunca uses el nombre que vino del cliente para escribir en disco. 3. Guarda los archivos fuera del webroot o en un bucket, y sírvelos por un endpoint controlado. Si el usuario puede adivinar la URL y pedir el archivo directo, perdiste. 4. Pon límites de tamaño y cantidad. Un upload sin tope es un DoS de disco esperando que alguien lo descubra. 5. Usa lista blanca de lo que aceptas (jpg, png, pdf) en vez de intentar bloquear lo peligroso. La negra siempre deja algo fuera. 6. Para imágenes, reprocesa. Pasa todo por una librería que reescriba el archivo. Mata el payload escondido en los metadatos. 7. Desactiva la ejecución en la carpeta de uploads. En nginx, un location que solo entregue estático. Cinturón y tirantes. La regla de fondo: todo archivo que sube un usuario es hostil hasta que demuestres lo contrario.