Web信息安全8-文件上传漏洞防御

原理

假如服务器环境是php，用户更新头像，却上传一个php文件，再去访问这个php文件路径，这个php文件就在服务器运行了。
攻击者就可以获取服务器的信息、删除文件等等

攻击演示

1. 启动DVWA, 进入File Upload
2. 新建一个文件1.php, 内容为 <?php phpinfo(); ?>
3. 将文件上传，拿到地址去访问刚刚上传的文件http://127.0.0.1/dvwa/hackable/uploads/1.php
   
   服务器的信息泄露了
   

防御

1. 文件类型检测（前端、后端）
2. 权限控制（让上传的文件不能有可执行权限）

Web信息安全9-任意文件包含漏洞防御