CSV注入之WEB端漏洞

1、漏洞危害：黑客可以构造恶意的excel公式，当用户打开导出的文件后，excel中的公式被执行，借此可以达到欺骗用户、获取导出数据甚至执行系统命令控制系统的目的。（很多时候出现在上传excel文件时候）

2、修复方案：在生成导出数据时对所有以艾特符号(@)或等号(=)或加号(+)或减号(-)开头的字符串进行校验或者直接进行过滤，去除开头的特殊字符

3、 案例：上传带有csv注入payload的excel文件

3.1 、一个上传excel的文件功能接口：

3.2、上传带有csv注入payload的excel文件

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-8yGlRPlr-1577438992858)(htps://img-blog.csdnimg.cn/20191227172812506.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTE1NTM5NDU=,size_16,color_FFFFFF,t_70)]