文件上传是Web应用常见功能，但配置不当可能导致重大安全风险，如上传恶意脚本、后门文件，引发服务器沦陷。文件上传漏洞包括黑名单与白名单策略、图片木马、.htaccess攻击、00截断等。防御措施包括文件类型白名单限制、服务器端文件检测、随机重命名和权限管理。
文件上传是Web应用的必备功能之一！
如果服务器配置不当或者没有进行足够的过滤，Web ⽤户就可以上传任意⽂件，包括恶意脚本⽂件，exe 程序等等，这就造成了⽂件上传漏洞。
漏洞的成因
服务器配置不当
Web 应⽤开放了文件上传功能，没有对上传的⽂件做⾜够的限制和过滤。
在程序开发部署时，没有考虑到系统的特性或组件的漏洞，从⽽导致限制被绕过。
漏洞危害
上传漏洞最直接的威胁就是上传任意⽂件，包括恶意脚本、程序等。
直接上传后门文件，导致网站沦陷。
通过恶意⽂件，利⽤其他漏洞拿到管理员权限(提权)，导致服务器沦陷。
通过文件上传漏洞获取的网站后门，叫WebShell。
WebShell是一个网站的后门，是一个命令解释器。通过Web方式(HTTP协议)传递命令消息到服务器，并且继承了Web用户的权限，在服务器端执行命令。
WebShell从本质上讲，就是服务器端可运行的脚本文件，后缀名通常为：
.php.asp.aspx.jsp...WebShell通常接收来自于Web用户的命令，然后在服务器端执行！
网站木马、木马后门、网马
小马：或一句话木马，与中国菜刀配合。
特点：短小精悍，功能强大！
三大基本功能：文件管理、虚拟终端、数据库管理
中国菜刀、蚁剑、冰蝎，CKnife ......
一句话木马：
10版本：
16版本：
蚁剑：
大马：与小马相比，代码量比较大。
Windows Server 2008
最低0.47元/天 解锁文章
2264
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
