AUTHOR:kj021320
TEAM: I.S.T.O
JAVA WEB文件上传 是取用户提交的文件名字而不是从random取随机器数字 就值得注意了
跟以前ASP+ADO.STREAM的上传漏洞同理
因为 WINDOWS平台不支持 带有/00字符的文件目录或者文件名字
所以 JAVA虽然与平台无关 但是他底层操作的时候必定是调用平台的API 所以就会难免有些与平台关联的
安全隐患或者漏洞令 JAVA语言开发者不能一一顾及周全 OK 下面是一个简单的代码例子
String filepath="c://kj021320.jsp"+(char)0+".txt";
System.out.println(filepath);
FileOutputStream fos=new FileOutputStream(filepath);
fos.write("hello".getBytes());
fos.close();
byte [] b=new byte[100];
int i=0;
FileInputStream fis=new FileInputStream(filepath);
i=fis.read(b);
out.println(new String(b,0,i));
fis.close();
然后看看有什么输出?
OK 以上都做了代码的测试 下面我们来分析JVM最终调用流程
来从源到内部核心实现
首先 分析FileOutputStream 类构造函数
//这个构造方法调用了 另一个构造函数
public FileOutputStream(String name) throws FileNotFoundException {
this(name != null ? new File(name) : null, false);
}