java 上传文件漏洞修复_文件上传漏洞详解

文件上传漏洞详解

---

前言

刷完了upload-labs
对文件上传漏洞有了些许认识
在此做个小结与记录

1、文件上传漏洞概述

文件上传漏洞是指由于程序员未对上传的文件进行严格的验证和过滤，而导致的用户可以越过其本身权限向服务器上上传可执行的动态脚本文件。
这里上传的文件可以是木马，病毒，恶意脚本或者WebShell等。
这种攻击方式是最为直接和有效的，“文件上传”本身没有问题，有问题的是文件上传后，服务器怎么处理、解释文件。
如果服务器的处理逻辑做的不够安全，则会导致严重的后果

2、一些基本概念

  web容器

web容器是一种服务程序，在服务器一个端口就有一个提供相应服务的程序，而这个程序就是处理从客户端发出的请求，如tomcat、apache、nginx等等。(可以理解为给编程语言提供环境)

中间件：提供系统软件和应用软件之间连接的软件，以便于软件各部件之间的沟通。中间件处在操作系统和更高一级应用程序之间。

容器：给处于其中的应用程序组件(ASP,JSP,PHP)提供一个环境。使处于其中的应用程序组件之间跟容器中的环境变量接口交互，不必关注其他系统问题。

服务器：www服务器或http服务器。提供web信息游览服务。它只需支持http协议、html文档格式以及url，向游览器提供服务的程序。

  IIS

IIS全称是互联网信息服务，包括FTP/FTPS、NNTP、HTTP/HTTPS、SMTP等服务。

.net Framework是基础类库，是程序运行的底层框架。

IIS是架设Web服务器用来提供网页游览服务的