security - 哪些常见的文档类型可以包含可执行代码？

Question

我正在研究使用文档管理系统的可执行代码保留所有文档的请求的合理性。这超出了现有的保护措施，将文件扩展名限制在一个简短的列表中，并在我们保存文件之前由诺顿防病毒软件运行该文件。

到目前为止，.doc(x)、.xls(x) 和 .htm 都是常见的文档类型，我不能要求人们停止使用它们并且其中可以包含可执行代码。

是否存在检查常见文档类型是否存在可执行代码的技术？

Answer 1

不幸的是，这可能是一场失败的比赛。

如果您真的想将文档完全限制为不能包含可执行代码的文档，最好编译一个允许的文档类型列表，而不是可拒绝的文档类型。总会有带有可执行代码的新文件格式，甚至是添加了可执行代码的旧格式的新版本（如 Kevin 提到的 PDF）。

确保这一点安全的唯一方法是编译一个允许格式的列表，并随着时间的推移对其进行维护。

Answer 2

请注意，查看器客户端程序中的安全漏洞（例如缓冲区溢出漏洞）可能会被滥用，以导致通常不具有此类功能的文件格式的可执行代码。

Answer 3

pdf就是其中之一。