/* 
    Güvensiz Kod

    EN: File Uploading Without Checking Its Extension - ASP.NET MVC 5 
    TR: Uzantı Kontrolü Olmadan Dosya Yükleme - ASP.NET MVC 5 

*/

//Controller:
[HttpPost]
[ValidateAntiForgeryToken]
public bool DangerousFileUpload(HttpPostedFileBase fileUpload)
{
    string fileName, path;
    try
    {
        if (fileUpload != null && fileUpload.ContentLength > 0 && Request.ContentType.Contains("multipart/form-data"))
        {
            fileName = Path.GetFileName(fileUpload.FileName);

            path = System.Web.HttpContext.Current.Server.MapPath("~/Content/" + fileName);

            fileUpload.SaveAs(path);
            return true;      
        }
    }
    catch (Exception e)
    {
        //Handle Exceptions
        return false;
    }
    return false;
}

//View:
@using (Html.BeginForm("DangerousFileUpload", "Cx", FormMethod.Post, new { enctype = "multipart/form-data" }))
{
    @Html.AntiForgeryToken()   
    <input type="file" name="fileUpload">
    <input type="submit" value="Create" class="btn btn-default" />
}

/* 
    Güvenli Kod

    EN: Uploading File With Proper Extension Check - ASP.NET MVC 5 
    TR: Düzgün Uzantı Kontrolü ile Dosya Yükleme - ASP.NET MVC 5 
*/

//Controller:
[HttpPost]
[ValidateAntiForgeryToken]
public bool DangerousFileUpload(HttpPostedFileBase fileUpload)
{
    string fileName, fileExt, path;
    
    try
    {
        if (fileUpload != null && fileUpload.ContentLength > 0 && Request.ContentType.Contains("multipart/form-data"))
        {
            fileName = Path.GetFileName(fileUpload.FileName);

            path = System.Web.HttpContext.Current.Server.MapPath("~/Content/" + fileName);

            fileExt = Path.GetExtension(path);

            if (fileExt == ".jpg" || fileExt == ".png")
            {
                fileUpload.SaveAs(path);
                return true;
            }
        }
    }
    catch (Exception e)
    {
        //Handle Exceptions
        return false;
    }

    return false;
}

// View: 
// View katmanı güvensiz kod bloğundaki ile aynı. Kod uzamasın diye yazılmadı.
// ...
// ...

<?php

/* 
    Güvensiz Kod

    EN: Checking a File's MIME Type Based on Data Sent by The Browser
    TR: Tarayıcıdan Gönderilen Veri Temel Alınarak Dosyanın 
        MIME Türünü Kontrol Etme
*/

if ($_FILES['file_name']['type'] == "image/jpeg"){
    move_uploaded_file($_FILES['file_name']['tmp_name'] , $destination);
};

<?php

/* 
    Güvenli Kod

    EN: Validating Real MIME Type of Uploaded File
    TR: Yüklenen Dosyanın Gerçek MIME Türünü Doğrulama
*/

//Verify file was uploaded via HTTP POST
if (is_uploaded_file($_FILES['file_name']['tmp_name'])) {    

    //Get real MIME type
    $mime_type = mime_content_type($_FILES['file_name']['tmp_name']);
    
    // Generate Allowed MIME Types List
    $allowed_file_types = ['image/png', 'image/jpeg'];
    
    //Verify that the real MIME type is allowed
    if (! in_array($mime_type, $allowed_file_types)) {
        
          // File type is NOT allowed
    
    }
    
    // Set up destination of the file
    $destination = '/path/to/file/'; 
    
    // Save File into Disk
    move_uploaded_file($_FILES['file_name']['tmp_name'] , $destination);  
}

' Güvensiz Kod Bloğu
' --------------------------------------------------
' EN: Uploading File Without Extension Validation
' TR: Uzantı Doğrulaması Olmadan Dosya Yükleme
' --------------------------------------------------

Public Function UploadFile(fileUpload As HttpPostedFileBase)

    Dim fileName, Path As String

    Try

        If (fileUpload IsNot Nothing And
            fileUpload.ContentLength > 0 And
            Request.ContentType.Contains("multipart/form-data")) Then

            fileName = Path.GetFileName(fileUpload.FileName)
            Path = Web.HttpContext.Current.Server.MapPath("~/Content/" + fileName)

            fileUpload.SaveAs(Path)
            Return True

        End If

    Catch

        'Handle Exceptions
        Return False
    End Try

    'If we got so far, something failed.
    Return False

End Function

' Güvenli Kod Bloğu
' --------------------------------------------------
' EN: Validation of File Extension Before Uploading
' TR: Dosya Yüklenmeden Önce Dosya Uzantısı Doğrulaması
' --------------------------------------------------

Public Function UploadFile(fileUpload As HttpPostedFileBase)

    Dim fileName, fileExt, Path As String

    Try

        If (fileUpload IsNot Nothing And
            fileUpload.ContentLength > 0 And
            Request.ContentType.Contains("multipart/form-data")) Then

            fileName = Path.GetFileName(fileUpload.FileName)
            Path = Web.HttpContext.Current.Server.MapPath("~/Content/" + fileName)
            
            '''''''''''''
            'Remediation:
            fileExt = Path.GetExtension(fileName)

             If (fileExt = ".jpg" Or fileExt = ".png") Then
                 fileUpload.SaveAs(Path)
                 Return True
             End If
            'End of Remediation.
            ''''''''''''''''''''
            
            End If

    Catch

        'Handle Exceptions
        Return False
    End Try

    'If we got so far, something failed.
    Return False

End Function

• Depolama: Eğer mümkünse upload’lanan (yüklenen) dosyaların sunucu diskine kaydedilmesinde sakınılmalıdır. Bunun yerine upload’lanan dosyalar harici depolama ünitelerinden örneğin veritabanına veya DMS’e (Document Management System’a) depolanmalıdır.
  
  
• Konum: Kullanıcı dosyaları web sitenin dizini dışında, doğrudan web tarayıcıyı ile gidilemeyen ve izole olan bir dizinde depolanmalıdır. Gerektiğinde uygulama kaynak kodu içerisinde yüklenmekte olan dosya açık bir şekilde okunmalıdır ve içeriği kullanıcıya uygun bir şekilde iletilmelidir.
  
  
• Yürütmeme Güvencesi: Kullanıcı tarafından yüklenen dosyalar web sunucusu / uygulama sunucusu tarafından örneğin konfigürasyon dosyası veya dizin ile çalıştırılamaz olarak açık bir şekilde işaretlenmelidir.
  
  
• Doğrulama: Daima tüm kullanıcı gidileri doğrulamadan geçirilmelidir. Özellikle dosya uzantısı ve/veya MIME türüne göre izinli dosya türleri izin listesi uygulanmalıdır. Rastgele dosyalara (örn; .ASP, .PHP, .JSP, .EXE, .HTML, … v.b.lerine) izin verilmemelidir. Örneğin yalnızca resimlere (.GIF, .JPG, .PNG, .BMP,…) izin verilmelidir. Bu izin listesi iş gereksinimine göre temel alınmalıdır. Eğer iş gereksinimi medya içeriğinde olmayan dosyaların da (örn; dökümanların, çalıştırılabilir dosyaların veya kodların da) izin listesine dahil edilmesini gerektiriyorsa bu dosyalarda zararlı içerik var mı diye tarama yapacak ayrı bir güvenlik katmanı oluşturulmalıdır.
  
  
• Yeniden İsimlendirme: Diske dosyayı kaydetmeden önce açık bir şekilde dosya türüne göre öntanımlı bir uzantı adı ile kayıt zorlamasında bulunulmalıdır. Bu işlem dosya ismine hardcoded (elle) bir uzantı eklenmesi ile veya yapılandırılmış izinli dosya türleri listesindeki uzantılardan birinin eklenmesi (concatenation) ile yapılabilir.
  
  
• İzinler: Derinlikli defans (defense-in-depth) gereği uygulama sunucusunu minimal işletim sistemi hak ayrıcalıkları ve kısıtlı sistem hesabında çalışacak şekilde konfigüre etmek gerekir.
  
  

• https://en.wikipedia.org/wiki/Document_management_system
• http://cwe.mitre.org/data/definitions/434.html