【问题标题】：Which common document types can have executable code in them?哪些常见的文档类型可以包含可执行代码？
【发布时间】：2009-06-23 16:39:56
【问题描述】：
我正在研究使用文档管理系统的可执行代码保留所有文档的请求的合理性。 这超出了现有的保护措施，将文件扩展名限制在一个简短的列表中，并在我们保存文件之前由诺顿防病毒软件运行文件。
到目前为止，.doc(x)、.xls(x) 和 .htm 都是常见的文档类型，我不能要求人们停止使用它们并且其中可以包含可执行代码。
是否存在检查常见文档类型是否存在可执行代码的技术？
【问题讨论】：
标签：
security
document-management
【解决方案1】：
很遗憾，这可能是一场失败的游戏。
如果您真的想将文档完全限制为不能包含可执行代码的文档，最好编译一个允许的文档类型列表，而不是可拒绝的文档类型。总会有带有可执行代码的新文件格式，甚至是添加了可执行代码的旧格式的新版本（例如 Kevin 提到的 PDF）。
确保这一点安全的唯一方法是编制一份允许格式的列表，并随着时间的推移对其进行维护。
【解决方案2】：
请注意，查看器客户端程序中的安全漏洞（例如缓冲区溢出漏洞）可能会被滥用以导致可执行代码的文件格式通常不具有此类功能。