web安全第七天：文件内容检测及绕过方法

二、文件内容检测及绕过方法

2.1文件内容检测

主要有两种检测方法:
1、通过检测上传文件内容开始处的文件幻数来判断。
通常情况下，通过判断前10个字节，基本就能判断出一个文件的真实类型。
2、文件加载检测
一般是调用API或函数对文件进行加载测试。常见的是图像渲染测试，再严格点的甚至是进行二次渲染。

2.1.1文件幻数概念

文件格式幻数（外语: magic number)，它可以用来标记文件或者协议的格式，很多文件都有幻数标志来表明该文件的格式。

2.1.2修改文件幻数绕过内容检测

使用16进制编辑器打开一个图片，在图片后面插入WebShell或者cmd下执行:

 copy aaa.jpg/b + test.phpla shell.jpg

三、 条件竞争绕过文件删除

3.1条件竞争概念

条件竞争指多个线程或者进程在读写一个共享数据时结果依赖于它们执行的相对时间的情形。例如:两个进程P1和P2共享了变量a。在某一执行时刻，P1更新a为1，在另一时刻，P2更新a为2。因此两个任务竞争地写变量a。在这个例子中，竞争的“失败者”(最后更新的进程）决定了变量a的最终值。

3.2大量发包绕过文件删除

<?php fputs(fopen('xiao.php'; 'w');,'<?php eval($_REQUEST[1]);?>');?>

文件上传漏洞防御

1、上传的目录设置为不可执行。只要web容器无法解析该目录下面的文件，,即使攻击者上传了脚本文件，服务器本身也不会受到影响，因此这一点至关重要。
2、对文件后缀的判断中使用白名单的方式。
3、文件服务器和web服务器分离，也就是上传的文件单独存放到其他的服务器之中。4、不需要返回文件路径的情况下，随机改写文件名。