web安全第五天：绕过黑名单监测实现文件上传

文件上传基本概述

1.1文件上传简述

顾名思义，文件上传就是将客户端的文件上传到服务器的过程称为文件上传。比如QQ空间发表说说上传的图片、招聘网上传简历、合天网安实验室修改头像、将文件上传到网盘等，这些都是文件上传。

1.2文件上传漏洞简述

上传文件的时候，如果服务器端后端语言未对上传的文件进行严格的验证和过滤，就容易造成上传任意文件的情况。常见场景是web服务器允许用户上传图片或者普通文本文件保存，而用户绕过上传机制上传恶意代码并执行从而控制服务器。

1.3文件上传漏洞的危害

攻击者通过上传恶意文件传递给解释器去执行，然后就可以在服务器上执行恶意代码，进行数据库执行、服务器文件管理、命令执行等恶意操作。从而控制整个网站，甚至是服务器。

1.4文件上传漏洞的必备条件

·文件上传功能能正常使用
。上传文件路径可知
。上传文件可以被访问。上传文件可以被解析

1.5 为什么要进行文件上传

危害最大化

1.6检测上传文件的方式

客户端JavaScript检测(检测文件扩展名)

服务端MIME类型检测(检测content-type内容)

服务端文件扩展名检测(检测跟文件extension相关的内容)

服务端文件内容检测(检测内容是否合法是否含有恶意代码）等。