文件单向安全上传解决方案

按照《计算机信息系统保密给管理暂行规定》等管理制度规定要求，涉密网络绝对不允许与非密网络进行互联，但由于业务应用的需求，部分涉密信息系统需要实时的收集外部文件，传统人工刻盘的光盘摆渡机方式已经无法满足数据收集实时性要求，需要技术上有突破。

安盟华御安全隔离与信息单向导入系统（简称“单向光闸”）的文件单向传输功能，在满足文件从非涉密网向秘密级网或低密级网向高密级网的单向实时传输文件的要求下，从物理上保证高密级网络绝对不能向低密级网络传输任陪备贺何信息。

技术原理

基于SFP光模块中发光器和收光器分离的技术特点，安盟华御单向光闸的两滚运个主芦派机之间只是通过外网主机光模块的一个发光器与内网主机光模块的一个收光器连接，从而从物理原理上实现了数据的绝对单向传输。

基于单向传输部件，结合传统安全隔离网闸的“摆渡+代理”技术，安盟华御单向光闸在保证单向数据传输的同时，保证数据的实时、准确、可控传输。

功能实现

 针对文件单向由低密级向上传的应用需求，安盟华御单向光闸提供了两种上传方式。

（1） 主动文件单向上传

基于安盟华御单向光闸内置的FTP/SMB等文件客户端模块，实现单向光闸主动从低密级FTP/SMB服务器上抓取指定文件，经单向传输后，推送到高密级FTP/SMB服务器上指定的目录。

（2） 被动文件单向上传

基于安盟华御单向光闸的专用文件传输模块，低密级客户机（采用专用的文件客户端软件）使用个人认证账号，将文件单向摆渡上传至高密级个人文件夹。单向光闸为每个账号提供了私有目录空间，同时提供了公共目录空间便于文件共享使用。

方案特色

1、冗余算法保证完整性

鉴于单向光闸的单向传输特点，接收单元无任何反馈信息，安盟华御单向光闸采用了专有冗余算法，实现即使在出现少量丢包时，仍能保证文件的完整性。

2、传输文件完全可控

基于用户账户验证，只有合法用户文件才能被上传。同时，目录空间有私有区和公共区之分，满足了文件传输的自由度。

3、多样化的日志管理

安盟华御单向光闸详细记录了系统日志、管理日志、通信日志、安全性阻断日志、内容检查日志等日志信息。

4、设备健康状况自检

具备健康状态自查功能，出现故障时会通过显示输出、声音、日志等方式进行告警。

5、良好的环境适应性

无论主动传输还是被动传输，均兼容Windows/Linux/Unix等多种平台。

适用环境

单向光闸主要用于各地电子政务、军队、军工的信息化建设，下列环境都可使用单向光闸保证业务系统安全：

1、由政务外网向政务内网报送数据

2、行业内下级向上级报送数据

3、低密级网向高密级网传输数据

4、低安全域向高安全域传输数据

5、工业生产网向MIS网/办公网传输数据

典型用户

XX直辖市保密局、XX核工业、广东省公安厅、天津市公安局、呼和浩特市公安局、昆明市公安局、昭通市公安局、怀化市公安局、郴州市公安局、邵阳市公安局

文件上传漏洞是指：由于程序员未对上传的文件进行严格的验证和过滤，而导致的用户可以越过其本身权限向服务器上传可执行的动态脚本文件。如常见的

头像上传，图片上传，oa办公文件上传，媒体上传，允许用户上传文件的地方如果过滤不严格，恶意用户利用文件上传漏洞，上传有害的可以执行脚本文件到服务器中，可以获取服务器的权限，或进一步危害服务器。

非法用户可以上传的恶意文件控制整个网站，甚至是控制服务器，这个恶意脚本文件，又被称为webshell，上传webshell后门之后可查看服务器信息、目录、执行系统命令等。

文件上传的类型：

1、前端js绕过

在文件上传时，用户选择文件时，或者提交时，有些网站会对前端文件名进行验证，一般检测后缀名，是否为上传的格式。如果上传的格式不对，则d出提示文字。此时数据包并没有提交到服务器，只是在客户端通过js文件进行校验，验证不通过则不会提交到服务器进行处理。

2、修改content-type绕过

有些上传模块，会对http类型头进行检测，如果是图片类型，允许上传文件到服务器，否则返回上传失败，因为服务端是通过content-type判断类型，content-type在客户端可被修改。

3、绕黑名单

上传模块，有时候会写成黑名单限制，在上传文件的时获取后缀名，再把后缀名与程序中黑名单进行检测，如果后缀名在黑名单的列表内，文件将禁止文件上传。

4、htaccess重写解析绕过

上传模块，黑名单过滤了所有的能执行的后缀名，如果允许上传.htaccess。htaccess文件的作用是：可以帮我纤物们实现包括：文件夹密码保护、用户自动重定向、自定义错误运竖郑页面、改变你的文件扩展名、封禁特定IP地址的用户、只允许特定IP地址的用户、禁止目录列表，以及使用其他文件作为index文件等一些功能。

在htaccess里写入SetHandler

application/x-httpd-php则可以文件重写成php文件。要htaccess的规则生效，则需要在apache开启rewrite重写模块，因为apache是多数都开启这个模块，所以规则一般都生效。

5、大小写绕过

有的上传模块 后缀名采用黑名单判断，但是没有对后缀名的大小写进行严格判断，导致可以更改后缀大小写可旁颂以被绕过，如PHP、Php、phP、pHp。

如果您是政采云平台的投标人员，需要上传加密的投标文件，您可以按照以下步骤 *** 作：

1. 打开政采云平台网站，并登录您的账号。

2. 进入投标文件上传页面，选择需要上传的文件。

3. 在上核戚档传页面仔芦中，点击“加密上传”按钮。

4. 在d出的加密设置界面中，输入您设定的密码，并确认密码。

5. 完成加密设置后，点击“确定”按钮，开始上传加密文件。

6. 系统会自动生成加密文件的名称，并在投标文件列表中显示。

7. 最后，您可以继续上传其他需要提交的投标文件，或者提交已上传的投标文件进行投标。

需要注意的是，投标文件必改乱须按照招标文件要求的格式和要求进行填写、打印、加盖单位印章等 *** 作。否则可能导致投标文件被拒绝或无效。如果有疑问或不清楚 *** 作流程，建议联系政采云平台的客服人员进行咨询和指导。

---