文件上传本身是互联网中最为常见的一种功能需求,所以文件上传漏洞攻击是非常常见,并且是危害极大的
常见安全问题
1) 上传文件是Web脚本语言,服务器的Web容器解释并执行了用户上传的脚本,导致代码执行...,如果存放上传文件的目录有执行脚本的权限,那么攻击者就可以直接得到一个WebShell,进而控制Web服务器
?...被这种webshell攻击的系统中,大部分都是将存储上传文件的位置与Web应用程序放在同一服务器,甚至同一目录下,这样上传的目录也和Web应用程序一样具备执行脚本的权限,从而导致系统产生了一个高危上传漏洞...防御
这个漏洞有两个必要条件
一是可以上传木马
二是存放上传文件的目录具备执行脚本的权限
那么首先要做的就是过滤上传的文件,但即使做了各种安全过滤,限制木马上传,实际还是会有各种绕过过滤的攻击方法...,比较难以限制,但过滤工作还是要做的
防御的关键还是要限制上传的目录具备执行脚本的权限上
如果将存储上传文件的位置设计在另一台文件服务器上,与Web应用服务器分开,并且没有执行权限,这样即使木马被上传进来