asp.net - 病毒扫描上传的文件

Question

我有一个 Web 应用程序，它允许用户将文件上传到 Web 服务器，然后将它们保存到数据库中。其中一位安全人员表示，我需要做的就是尝试将文件保存到将启动病毒扫描的 Web 服务器。然后我可以删除该文件并将其保存到数据库中。但是，我对此感到担忧：

1. 如果我将文件临时保存到网络服务器，如果发现病毒，文件是否会无法保存？
   • 如果失败，我应该期待什么类型的异常？
2. 从命令行运行病毒扫描程序是否更好？
3. 这安全吗？阅读这篇文章：文件上传安全问题我担心这一行：“确保您将保存到的目录不被网络服务器读取，这样他们就不会上传恶意脚本，然后通过浏览器执行它一个 HTTP"

Answer 1

一些防病毒供应商拥有基于服务器的工具，可让您以编程方式提交要扫描的文件。例如，我们通过 ICAP 界面使用了 Symantec Scan Engine（请参阅http://www.symantec.com/business/support/index?page=content&id=TECH83 ​​878 ）。

其他防病毒软件供应商也有提供相同或相似功能的其他工具。