文件上传漏洞

什么是文件上传：
一些web应用程序中允许上传图片，文本或者其他资源到指定的位置，文件上传漏洞就是利用这些可以上传的地方将恶意代码植入到服务器中，再通过url去访问以执行代码




WebShell

    以Web 方式进行通信的命令解释器，也叫网站后门。
    本质上讲，WebShell 就是一个能够执行脚本命令的文件，其形式可以是任意类型

为什么文件上传存在漏洞：

    上传文件的时候，如果服务器脚本语言，未对上传的文件进行严格的验证和过滤，就容易造成上传任意文件，包括上传脚本文件。

    如果是正常的PHP文件，对服务器则没有任何危害。

    PHP可以像其他的编程语言一样，可以查看目录下的文件，查看文件中的吗内容，可以执行系统命令等。

    * 上传文件的时候，如果服务器端脚本语言，未对上传的文件进行严格的验证和过滤，就有可能上传恶意的PHP文件，从而控制整个网站，甚至是服务器。这个恶意的PHP文件，又被称为WebShell。


哪里存在文件上传漏洞


    服务器配置不当

    开源编辑器的上传漏洞

    本地文件上传限制被绕过

    过滤不严或被绕过

    文件解析漏洞导致文件执行

    文件路径截断


上传漏洞的防御


    对面文件后缀进行检测

    对文件类型进行检测

    对文件内容进行检测

    设置上传白名单