文件上传漏洞

一、文件上传漏洞原理
1、什么是文件上传
在现代互联网的web应用程序中，上传文件是一种常见的功能，因为它有助于提高业务的效率，比如企业OA系统，允许用户上传图片、视频、头像和其他许多类型的文件，然而向用户提供的功能越多，那么容易出现这个漏洞的概率也就越大，尤其是在这个管理后台，经常是会存在这样一个上传漏洞的。

Q：那么我们怎么进入这个管理后台呢？
A：我们之前说到过SQL注入，我们可以通过SQL注入来尝试寻找到他的管理后台的账号密码。找到账号密码之后，在进一步的去找到他的管理后台，找到过后我们去登录，找到后台的上传点，去测试一下它的上传漏洞。

Q：为什么存在文件上传漏洞？
A：我们上传文件的时候，如果服务端代码未对客户端上传的文件进行严格的验证和过滤，就容易造成可以上传任意文件的情况，包括上传脚本文件，（ASP，aspx，php，jsp等等）这些文件可以把他们进一步的去写成这些木马的代码，从而通过这些木马呢来去，做这个后续的一些渗透。

二、文件上传漏洞的危害。

文件上传漏洞的危害是非常大的，非法用户是可以利用上传的恶意脚本文件控制整个网站，甚至控制整个服务器，这个恶意的脚本文件又被称为webshell，也就是网页后门，webshell脚本具有很强大的功能，比如说查看服务器目录、服务器文件、执行系统命令等。

三、windows server 2008 r2

我们讲解这样的一个上传漏洞，是想要我们去搭建这样的一个靶场环境，那么我们搭建的靶场环境就需要用到这个windows server 2008 这