[基础漏洞]文件上传漏洞

原理：

          由于程序员在对用户文件上传功能点实现代码没有严格限制用户上传文件后缀以及文件类型或者处理缺陷，而导致用户可以越过本身权限向服务器上传木马去控制服务器。

危害：

        操作木马文件能提权，获取网站权限

防御：

         1.添加黑面单

         2.后缀名不完整，php5,phtml等

         3.添加白名单，（一般需要配合其他漏洞一起利用）

修复：

        后端验证：采用服务端验证模式

         后缀验证：基础白名单，黑面单过滤

总结：

            由于程序员在对用户文件上传功能点实现代码没有严格限制用户上传文件后缀以及文件类型或者处理缺陷，而导致用户可以越过本身权限向服务器上传木马去控制服务器。危害 是 操作木马文件能提权，获取网站权限   防御黑面单，针对后缀的过滤，禁止上传php后缀，尝试phtml,php3等后缀，将匹配的后缀替换为空，双写绕过，上传区域解析配置⽂件，.htaccess