文件上传漏洞

文件上传漏洞

1.简介

文件上传漏洞就是说用户上传了一个可以执行的脚本文件，并通过这个文件拿到了执行服务器端命令的能力，正常情况下上传功能是一个正常业务需求，对于网站来说，很多时候确实需要用户将文件上传到服务器中，但是由于往回走那对上传部分控制不足或者存在缺陷，从而导致用户可以越过其本身权限向服务器上传可执行的动态脚本文件。

1.1 漏洞成因

• web脚本语言：

  上传文件时web脚本语言，服务器的web容器解释并执行了用户上传的脚本，导致上传的恶意代码被执行。

• Flash的策略文件

  上传文件是Flash的策略文件crossdomain.xml黑客用以控制Flash在该域下的行为。

• 病毒或者木马文件

  上传文件是病毒、木马文件,黑客用以诱骗用户或者管理员下载执行。

• 钓鱼图片

  上传文件是钓鱼图片或为包含了脚本的图片,在某些版本的浏览器中会被作为脚本执行,被用于
  钓鱼和欺诈。

  2.文件上传利用类型