bp上传php文件,文件上传(Web漏洞及防御)

文件上传是Web应用的必备功能之一！

如果服务器配置不当或者没有进行足够的过滤，Web 户就可以上传任意件，包括恶意脚本件，exe 程序等等，这就造成了件上传漏洞。

漏洞的成因

服务器配置不当

Web 应开放了文件上传功能，没有对上传的件做够的限制和过滤。

在程序开发部署时，没有考虑到系统的特性或组件的漏洞，从导致限制被绕过。

漏洞危害

上传漏洞最直接的威胁就是上传任意件，包括恶意脚本、程序等。

直接上传后门文件，导致网站沦陷。

通过恶意件，利其他漏洞拿到管理员权限(提权)，导致服务器沦陷。

通过文件上传漏洞获取的网站后门，叫WebShell。

WebShell是一个网站的后门，是一个命令解释器。通过Web方式(HTTP协议)传递命令消息到服务器，并且继承了Web用户的权限，在服务器端执行命令。

WebShell从本质上讲，就是服务器端可运行的脚本文件，后缀名通常为：

.php.asp.aspx.jsp...

WebShell通常接收来自于Web用户的命令，然后在服务器端执行！

网站木马、木马后门、网马

小马：或一句话木马，与中国菜刀配合。

特点：短小精悍，功能强大！

三大基本功能：文件管理、虚拟终端、数据库管理

中国菜刀、蚁剑、冰蝎，CKnife ......

一句话木马：

10版本：

16版本：

蚁剑：

大马：与小马相比，代码量比较大。

Windows Server 2008