http上传文件数据包解析

POST /iodn/fileupload HTTP/1.1
Content-Type: multipart/form-data; boundary=A---------------------------KxBrowser
User-Agent: KXBrowser
Host: 192.168.1.123:8899
Content-Length: 184
Cache-Control: no-cache

--A---------------------------KxBrowser
Content-Disposition: form-data; name="upfile"; filename="F:/aaindex.jsp"
Content-Type: *.*


ABC
--A---------------------------KxBrowser-- 

 

说明:

1、multipart消息体各段均使用"\r\n"+"--"+boundary开始

2、multipart的http包体结束时,必须是"\r\n"+"--"+boundary+"--";

3、数据前面必须有一空行;

 

某些HTTP服务器要求是"\r\n"+"--"+boundary+"--\r\n"

像apache的HttpClient上传的文件,multipart的http包体结束时就是"\r\n"+"--"+boundary+"--\r\n",

但flex组件上传文件的http包体结束时就不含有"\r\n"

3.content-length说明了http包体的大小

  • 0
    点赞
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
回答: 文件上传漏洞的常见绕过方法主要包括前端JS检测、构造特殊的、畸形的数据包以干扰WAF对数据包的检测、利用文件内容的免杀和超大文件等方式进行突破、针对文件名过滤的WAF绕过突破思路等。\[1\]\[2\]\[3\]其中,前端JS检测是一种常用的防御方式,通过在前端对上传文件进行检测,限制文件类型和文件后缀,以防止恶意文件的上传。然而,攻击者可以通过构造特殊的、畸形的数据包来绕过WAF的检测,干扰WAF对数据包解析,使其无法提取文件名称或将其误认为非文件上传数据包,从而绕过WAF的防御。此外,攻击者还可以利用免杀和超大文件等方式来绕过WAF对文件内容的检测。针对文件名过滤的WAF绕过突破思路主要包括获取HTTP Request数据包包头中的boundary值、解析数据包获取上传文件的文件名,然后根据文件名进行黑名单或白名单的匹配。综上所述,文件上传漏洞的绕过方法多种多样,需要综合使用多种防御措施来提高安全性。 #### 引用[.reference_title] - *1* [文件上传漏洞常用绕过方式](https://blog.csdn.net/qq_62078839/article/details/124026691)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^insertT0,239^v3^insert_chatgpt"}} ] [.reference_item] - *2* *3* [文件上传漏洞WAF绕过方法](https://blog.csdn.net/weixin_40228200/article/details/127200643)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^insertT0,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值