B站小迪安全笔记第二十天-文件上传之基础过滤方式

什么是文件上传漏洞？

凡是存在文件上传的地方它均有可能存在文件上传漏洞，关于上传文件操作的时候对方代码写的是否完整、是否安全，一旦疏忽了某个地方可能会造成文件上传漏洞。

文件上传漏洞由哪些危害？

文件可以自定义，可以成为webshell，通过文件上传来上传网站后门，直接获取网站权限，属于高危漏洞。

文件上传漏洞如何查找及判断？

1.黑盒查找。文件后台、会员中心、文件扫描。

2.白盒查找。通过代码分析到上传漏洞、查找文件上传功能。

文件上传漏洞有哪些需要注意的地方？

对文件上传类型进行区分，是属于编辑器文件上传，还是属于第三方应用，还是会员中心。要确保文件上传是什么类型，就用什么类型方法对它进行后期测试。

演示案例：

常规文件上传地址的获取说明

不同格式下的文件类型后门测试