聊聊文件上传那些事

by NUIST多火安全组

注:本文的所有内容均不涉及实际站点,必要的演示工作均由第三方开源靶场完成,本文仅作为交流学习用途,请勿使用本文所涉及的技术或工具进行违法操作。多火安全区委提醒您:道路千万条,渗透走不通。一招若不慎,亲人两行泪。

文件上传本来仅是个功能,用漏洞的思路解读他,真的只是个无奈之举。

如今,随着各类web应用的发展,文件上传已然成为几乎每个web程序的必备功能,无论是用户个人主页的头像,亦或是管理员上传某些装饰性图片,都离不开文件上传的相关模块。然而,如果设计web程序的程序员不注意对上传图片类型进行把控的话,那么这个功能很有可能就会变成一个致使web程序甚至服务器沦陷的 “上传点”。

例如,DVWA-File Upload模块在easy模式中为我们提供了一个未进行任何验证的上传场景:
继续阅读聊聊文件上传那些事