网络安全CTF系列培训教程之Web篇-文件上传漏洞

工具资料在网页底部获取

1 什么是文件上传漏洞?

       文件上传漏洞是指网络攻击者上传了一个可执行的文件到服务器并执行。这里上传的文件可以是木马，病毒，恶意脚本或者WebShell等。这种攻击方式是最为直接和有效的，部分文件上传漏洞的利用技术门槛非常的低，对于攻击者来说很容易实施。

2 webshell介绍

       大多数的文件上传漏洞被利用后，攻击者都会留下webshell以方便后续进入系统。攻击者在受影响系统放置或者插入webshell后，可通过该webshell更轻松，更隐蔽的在服务器中为所欲为。
这里需要特别说明的是上传漏洞的利用经常会使用webshell，而webshell的植入远不止文件上传这一种方式。(例如还可以通过其他命令执行，数据库插入等方式植入webshell)

3 常见的文件上传检测手段

       第一种是客户端JavaScript检测验证。这种方式一般是通过客户端浏览器的js代码来检测用户上传的文件后缀名是否为合法文件，从而避免非法文件如webshell的上传。
       第二种是服务器端文件扩展名检测，就是在服务器端而非客户端来检测上传文件的后缀名是否合法。这种检测方式比第一种更加安全，因为如果检测手段在客户端，那么攻击者可以很容易在客户端