学习笔记文件上传漏洞原理

一、文件上传漏洞概念

文件上传漏洞是指由于程序员在对用户文件上传部分的控制不足或者处理缺陷，而导致的用户可以越过其本身权限向服务器上上传可执行的动态脚本文件。这里上传的文件可以是木马，病毒，恶意脚本或者WebShell等。这种攻击方式是最为直接和有效的，“文件上传”本身没有问题，有问题的是文件上传后，服务器怎么处理、解释文件。如果服务器的处理逻辑做的不够安全，则会导致严重的后果。

二. 造成文件上传漏洞的原因

1 对于上传文件的后缀名（扩展名）没有做较为严格的限制
2 对于上传文件的MIMETYPE(用于描述文件的类型的一种表述方法) 没有做检查
3 权限上没有对于上传的文件目录设置不可执行权限，（尤其是对于shebang类型的文件）
4 对于web server对于上传文件或者指定目录的行为没有做限制

三. 造成文件上传漏洞的原理

在 WEB 中进行文件上传的原理是通过将表单设为 multipart/form-data，同时加入文件域，而后通过 HTTP 协议将文件内容发送到服务器，服务器端读取这个分段 (multipart) 的数据信息，并将其中的文件内容提取出来并保存的。通常，在进行文件保存的时候，服务器端会读取文件的原始文件名，并从这个原始文件名中得出文件的扩展名，而后随机为文件起一个文件名 ( 为了防止重复 )，并且加上原始文件的扩展名来保存到服务器上。

四. 安全问题

文件上传漏洞本身就是一个危害巨大的漏洞，WebShell更是将这种漏洞的利用无限扩大。大多数的上传漏洞被利用后攻击者都会留下WebShell以方便后续进入系统。攻击者在受影响系统放置或者插入WebShell后，可通过该WebShell更轻松，更隐蔽的在服务中为所欲为。
文件上传后导致的常见安全问题一般有:上传文件是Web脚本语言，服务器的Web容器解释并执行了用户上传的脚本，导致代 码执行；
上传文件是Flash的策略文件crossdomain.xml，黑客用以控制Flash在该域下的行为（其他通过类似方式控制策略文件的情况类似)；
上传文件是病毒、木马文件，黑客用以诱骗用户或者管理员下载执行；上传文件是钓鱼图片或为包含了脚本的图片，在某些版本的浏览器中会被作为脚本执 行，被用于钓鱼和欺诈。除此之外，还有一些不常见的利用方法，比如将上传文件作为一个入口，溢出服务器的后台处理程序，如图片解析模块；或者上传一个合法的文本文件，其内容包含了 PHP脚本，再 通过“本地文件包含漏洞（ Local Hie Include)”执行此脚本；等等。此类问题不在此细述。

五. 限制Web Server对于特定类型文件的行为

导致文件上传漏洞的根本原因在于服务把用户上传的本应是数据的内容当作了代码，一般来说，用户上传的内容都会被存储到特定的一个文件夹下，比如我们很多人习惯于放在./upload/下面要防止数据被当作代码执行，我们可以限制web server对于特定文件夹的行为。
大多数服务端软件都可以支持用户对于特定类型文件的行为的自定义.
以Apache为例：
在默认情况下，对于.php文件Apache会当作代码来执行，对于 html,css,js文件，则会直接由HTTP Response交给客户端程序对于一些资源文件，比如txt，doc，rar等等，则也会以文件下载的方式传送的客户端。我们希望用户上传的东西仅仅当作资源和数据而不能当作代码
因此可以使用服务器程序的接口来进行限制
我们可以利用 .htaccess 文件机制来对web server行为进行限制
禁止脚本执行有多种方式可以实现，而且分别有不同的效果：

1. 指定特定扩展名的文件的处理方式
   指定Response的Content-Type可以加上如下几行

`AddType text/plain .pl .py .php`

这种情况下，以上几种脚本文件会被当作纯文本来显示出来，你也可以换成其他的Content-Type
2. 完全禁止Options -ExecCGI
AddHandler cgi-script .php .pl .py .jsp .asp .htm .shtml .sh .cgi特定扩展名的文件被访问
在这种情况下，以上几种类型的文件被访问的时候，会返回403 Forbidden的错误
3. 强制web服务器对于特定文件类型的处理
第一条不同的是， 下面的方法直接强行让apache将文件识别为你指定的类型，而第一种是让浏览器

<FilesMatch "\.(php|pl|py|jsp|asp|htm|shtml|sh|cgi)$">
ForceType text/plain
</FilesMatch>

符合上面正则的全部被认为是纯文本，也可以继续往里面加入其他类型。
4. 只允许访问特定类型的文件

<Files ^(*.jpeg|*.jpg|*.png|*.gif)>
order deny,allow
deny from all
</Files>

在一个上传图片的文件夹下面，就可以加上这段代码，使得该文件夹里面只有图片扩展名的文件才可以被访问，其他类型都是拒绝访问。

声明：本人坚决反对利用教学方法进行犯罪的行为，一切犯罪行为必将受到严惩，绿色网络需要我们共同维护，更推荐大家了解它们背后的原理，更好地进行防护。