Предотвращение выполнения страниц asp.net в подпапке

Если общий файловый ресурс доступен для чтения пользователю, в котором работает ваш пул приложений (по умолчанию сетевая служба), вы можете полностью удалить виртуальный каталог и создать приложение ASP.NET, которое будет передавать файлы в браузер. Если вы используете MVC, он просто возвращает результат файла. Это дает дополнительное преимущество в том, что вы можете запретить пользователям скачивать файлы. то есть вы можете потребовать, чтобы пользователь вошел в систему или имел определенные разрешения для загрузки файлов. Также убедитесь, что вы проверяете обход пути, вы не хотите, чтобы пользователь, вводящий ../../filename, загружал файлы, которые им не разрешены.

Вариант 1. ASP.NET MVC

public ActionResult Download(string file)
{
    // Check for directory traversal attack
    if(file.IndexOf('\\') > -1 || file.IndexOf('/') > -1)
    {
        return new HttpNotFoundResult();
    }

    file = System.IO.Path.Combine("\\FILE_SHARE_FOLDER\\", file);

    if(!System.IO.File.Exists(file))
    {
        return new HttpNotFoundResult();                
    }

    return this.File(file, GetMimeType(file));
}

Вариант 2. Веб-формы

private void DownloadFile(string file)
{
    // Check for directory traversal attack
    if(file.IndexOf('\\') > -1 || file.IndexOf('/') > -1)
    {
        Response.StatusCode = 404;
        Response.End();
    }

    file = System.IO.Path.Combine("\\FILE_SHARE_FOLDER\\", file);

    if (!System.IO.File.Exists(file))
    {
        Response.StatusCode = 404;
        Response.End();
    }

    Response.ContentType = GetMimeType(file);
    Response.TransmitFile(file);
}

Примечание. Вам понадобится метод для получения типов MIME как для MVC, так и для веб-форм (Метод типа MIME из KodeSharp)

private string GetMimeType(string fileName)
{
    string mimeType = "application/unknown";
    string ext = System.IO.Path.GetExtension(fileName).ToLower();
    Microsoft.Win32.RegistryKey regKey = Microsoft.Win32.Registry.ClassesRoot.OpenSubKey(ext);
    if (regKey != null && regKey.GetValue("Content Type") != null)
        mimeType = regKey.GetValue("Content Type").ToString();
    return mimeType;
} 

Вы можете проверить global.asax для запроса, и если он исходит из каталогов, которые вы не разрешаете, остановите обработку как:

protected void Application_BeginRequest(Object sender, EventArgs e)
{
    string cTheFile = HttpContext.Current.Request.Path;

    if(cTheFile.StartsWith("/articleimages", StringComparison.CurrentCultureIgnoreCase)
    {
        HttpContext.Current.Response.TrySkipIisCustomErrors = true;
        HttpContext.Current.Response.Write("Please start from home page");
        HttpContext.Current.Response.StatusCode = 403;
        HttpContext.Current.Response.End();
        return ;
    }   
}

Конечно, вы можете просто разместить один дополнительный web.config в каталоге с этим внутри:

<configuration>
    <system.web>
      <authorization>
        <deny users="*" />
      </authorization>
    </system.web>
</configuration>

но если они могут удалить, это бесполезно как код.