文件上传漏洞？

文件上传漏洞是指：由于程序员未对上传的文件进行严格的验证和过滤，而导致的用户可以越过其本身权限向服务器上传可执行的动态脚本文件。如常见的

头像上传，图片上传，oa办公文件上传，媒体上传，允许用户上传文件的地方如果过滤不严格，恶意用户利用文件上传漏洞，上传有害的可以执行脚本文件到服务器中，可以获取服务器的权限，或进一步危害服务器。

非法用户可以上传的恶意文件控制整个网站，甚至是控制服务器，这个恶意脚本文件，又被称为webshell，上传webshell后门之后可查看服务器信息、目录、执行系统命令等。

文件上传的类型：

1、前端js绕过

在文件上传时，用户选择文件时，或者提交时，有些网站会对前端文件名进行验证，一般检测后缀名，是否为上传的格式。如果上传的格式不对，则d出提示文字。此时数据包并没有提交到服务器，只是在客户端通过js文件进行校验，验证不通过则不会提交到服务器进行处理。

2、修改content-type绕过

有些上传模块，会对http类型头进行检测，如果是图片类型，允许上传文件到服务器，否则返回上传失败，因为服务端是通过content-type判断类型，content-type在客户端可被修改。

3、绕黑名单

上传模块，有时候会写成黑名单限制，在上传文件的时获取后缀名，再把后缀名与程序中黑名单进行检测，如果后缀名在黑名单的列表内，文件将禁止文件上传。

4、htaccess重写解析绕过

上传模块，黑名单过滤了所有的能执行的后缀名，如果允许上传.htaccess。htaccess文件的作用是：可以帮我们实现包括：文件夹密码保护、用户自动重定向、自定义错误页面、改变你的文件扩展名、封禁特定IP地址的用户、只允许特定IP地址的用户、禁止目录列表，以及使用其他文件作为index文件等一些功能。

在htaccess里写入SetHandler

application/x-httpd-php则可以文件重写成php文件。要htaccess的规则生效，则需要在apache开启rewrite重写模块，因为apache是多数都开启这个模块，所以规则一般都生效。

5、大小写绕过

有的上传模块 后缀名采用黑名单判断，但是没有对后缀名的大小写进行严格判断，导致可以更改后缀大小写可以被绕过，如PHP、Php、phP、pHp。

文件上传功能在很多系统中都扮演着非常重要的角色，因而保证文件上传的安全也是至关重要的，对上传漏洞置之不理会造成严重后果。

加入你的网站有文件上传功能的话，那可能有三种类型的风险：

如果要避免以上三种文件上传攻击，这里推荐几种最佳实践：

原文： https://www.opswat.com/blog/file-upload-protection-best-practices

最近发现网站出现了一个安全漏洞，可以通过控制台修改Input的accept属性来上传不允许的文件类型。

对于前端来说，通过使用Input的type=file 来进行本地文件的上传是最常用的方式。

使用Input进行文件上传时，有accept属性可以进行文件类型的限制，比如想上传图片文件，将accept设置成image/ ，上传音频则设置成audio/ 。使用方便快捷。

漏洞：当前端使用Input进行上传时，有心人只需要在控制台中找到上传文件的Input标签，然后将accept的参数修改一下便可越过这个限制，上传其他类型文件，比如本应该上传图片，通过这样修改可以上传audio\video\word\html\js等文件。给系统造成很大的安全漏洞。因此需要针对此漏洞进行限制。

修改：我的做法时当选择完文件之后用js来做个判断，判断文件类型是否符合条件

不足：这种做法可以弥补一些Input的不足，但是不能完全解决，比如将可执行脚本用符合条件的文件中，所谓前端的都是可以绕过的，因此还需要在后端做限制。前端加限制是为了提高漏洞使用的门槛，降低风险。

注：遇到问题记录，仅供参考

---