web安全---文件上传漏洞

文件上传功能模块
文件上传功能是大部分WEB应用的必备功能，网站允许用户自行上传头像、一些社交类网站允许用户上传照片、一些服务类网站需要用户上传证明材料的电子档、电商类网站允许用户上传图片展示商品情况等。然而，看似不起眼的文件上传功能如果没有做好安全防护措施，就存在巨大的安全风险。

文件上传漏洞原理
当用户在在文件上传的功能模块处上传文件时，如果WEB应用在文件上传过程中没有对文件的安全性进行有效的校验，攻击者可以通过上传WEBshell等恶意文件对服务器进行攻击，这种情况下认为系统存在文件上传漏洞。

文件上传漏洞—webshell
最常见的文件上传漏洞的方法是上传网站木马（webshell）文件，WEBSHELL又称网页木马文件，根据开发语言的不同又分为ASP木马、PHP木马、JSP木马等，该类木马利用了脚本语言中的系统命令执行、文件读写等函数的功能，一旦上传到服务器被脚本引擎解析，攻击者就可以实现对服务器的控制。

网站木马（webshell）文件又分为大马和小马（一句话木马）、图片马等

大马：功能比较善，配合浏览器使用；代码量通常较大；隐蔽性相对较弱，代码量大，通常需要通过加密等方式来隐藏特征。

小马：功能简单，需要配合客户端使用；代码