html 上传文件_对OSS文件上传的一次研究

最新推荐文章于 2024-07-11 22:41:56 发布
最新推荐文章于 2024-07-11 22:41:56 发布
阅读量436 收藏
点赞数
文章标签： html 上传文件 html 文件上传 html上传图片 html上传文件 html文件上传 上传文件为什么只能上传一次

背景

    在一次应急中发现OSS由于上传文件控制不严，被黑产利用，上传可执行html文件，进行引流，诱骗等操作，导致域名被微信封禁，影响业务。以下图片为当时黑产引流页面，由此引出此次对oss文件上传问题的以下研究。

60dae7c3bdbeaea327bc48cb750a0632.png

Oss文件上传漏洞危害

  • 可上传html文件，用于钓鱼、引流等，最终会导致域名被微信封禁，使得业务不可用
  • 存储型xss漏洞
  • 若文件上传后未进行随机名，可导致静态文件被覆盖，严重可导致网站主页被覆盖或静态html加入暗链引流等，带来严重影响

相关概念介绍

阿里云Oss：阿里云对象存储服务(Object Storage Service，简称OSS)，是阿里云提供的海量、安全、低成本、高可靠的云存储服务。 Content-Type：HTTP请求头，请求报文中实体头部用于指示资源的MIME类型 media type ；在响应中，Content-Type标头告诉客户端实际返回的内容的内容类型。

危险的Content-Type

由于oss上传默认接收用户上传Content-Type值，且可为任意值，所以本次研究对象就是Content-Type
  • text/html
        该类型为html文件头，上传该类文件，会直接以html方式进行解析，无论文件后缀为何，注：不能使用完全匹配进行黑名单操作，可被增加编码绕过(如：Content-Type:text/html;charset:utf-8;)
  • */* 
        该类型为任意类型，会根据文件内容进行匹配，上传文件内容中存在html标签，文件将会被浏览器当做html文件来解析。注：必须有html标签，否则将不会被解析为html文件     测试代码如下： 
<html><img src=x onerror=alert(2)>html

  • 不带/，随便一个请求头

    测试代码：

    <img src=x onerror=alert(1)>

38d0d3b7834220db5729cef78798666a.png

  • application/xml；application/xhtml+xml ；text/xml看上去人畜无害的xml，也能用来作恶。上述类型为XHTML文件类型，是更严谨更纯净的 HTML 版本。
        测试代码： 
<html xmlns="http://www.w3.org/1999/xhtml"><script type="text/javascript">  alert(1);script> html>

    执行效果如下图

c593bf3593f4621929797429c7ac546b.png

  • image/svg+xml

    该类型为SVG文件格式，svg是使用 XML 来描述二维图形和绘图程序的语言。由于是基于XML解释，所以之前的XHTML的代码同样可以使用。以下为另一种标准svg代码：

<?xml version="1.0" encoding="UTF-8" standalone="no"?><svg width="24px" height="24px" viewBox="0 0 24 24" version="1.1" xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w3.org/1999/xlink" xmlns:sketch="http://www.bohemiancoding.com/sketch/ns"><script>alert(1);script>svg>
MSEdge/IE浏览器特性接下来为神奇的微软系浏览器    application/postscript    application/octet-stream    application/javascript    text/webviewhtml    text/scriptlet以上标签在该浏览器都会以html格式解析文件 解决方案理想状态：    不接收前端content-type值，接口分类专用，后端设置content-type非理想状态：
  • 白名单Content-Type(缺点：由于业务复杂，白名单收集不全，导致业务不可用)
  • 黑名单Content-Type(缺点：由于各种类型复杂，可能存在漏网之鱼)
  • 文件随机命名，可避免文件覆盖问题
  • 对不信任文件设置Content-Disposition:attachment,该文件头告诉浏览器使用下载方式处理文件

到家集团安全部，愿与你共同成长

6bf1f5aa01f52b41c5763f2b3adeaf51.gif

weixin_39917894
关注
文件上传（本地上传，oss上传加水印）
11-03
在IT行业中，文件上传是一项常见的需求，特别是在web应用和移动应用中。本地上传和OSS（Object Storage Service）上传是两种常见的实现方式。本篇文章将详细介绍这两种上传方式以及如何在OSS上传中添加水印。 首先...
OSS上部署Html静态页面
qq_40600379的博客
01-13 1万+
OSS收费简介及购买 1、只需9元，就可以购买有40G的存储空间。 2、内网读写不收费，外网写不收费，读收费。 3、登录阿里云，选择”产品”–>”对象存储OSS”,滑动到页面底部，购买试用版，如下图： 4、在本地创建一个index.html和error.html,并输入如下图代码 5、进入OSS控制台，在左侧树形菜单中找到OSS对象存储,新建一个Bucket,上传上一步中的两个文件，如...
前端oss上传接口_对OSS文件上传的一次研究
weixin_39887961的博客
11-22 648
背景在一次应急中发现OSS由于上传文件控制不严，被黑产利用，上传可执行html文件，进行引流，诱骗等操作，导致域名被微信封禁，影响业务。以下图片为当时黑产引流页面，由此引出此次对oss文件上传问题的以下研究。Oss文件上传漏洞危害可上传html文件，用于钓鱼、引流等，最终会导致域名被微信封禁，使得业务不可用存储型xss漏洞若文件上传后未进行随机名，可导致静态文件被覆盖，严重可导致...
文件上传（本地和OSS）
最新发布
LiuShaoSheng7的博客
07-11 697
文件上传，包括本地和云上传，就是个学习总结！！！
部署前端项目的几种方案并探讨优缺点
haonanhai1688的专栏
10-19 5154
前端部署作为大前端的知识体系的一部分，是不可或缺的。如果作为软件开发工程师的你开发了一个网站，却不会部署上线，还有请别人帮忙，那知识面确实要扩充下了。而且作为一名前端开发，避免不了与运维部署的同事调试部署流程，如果自己能知道一点前端部署的知识，那合作起来将事半功倍， 本文不会讲很复杂的项目运维配置，点到为止，既能让你快速了解部署的整个流程，又能让你能够毫不费力地部署自己的网站。作为一名前端，一定要知道自己工作内容的上下游是如何流转的,并且掌握一整套的软件开发流程。 前端部署的方式大致有三种， 使用Ng
前端阿里云oss直传图片遇到的问题与解决方案 vant + vue3 + oss
u013505589的博客
09-20 2504
前端阿里云oss直传图片遇到的问题与解决方案 vant + vue3 + oss
对象存储OSS 客户端签名直传的安全风险和解决方法
qq_33163046的博客
06-07 2144
本文探讨了OSS客户端签名直传的安全风险及解决方法。我们对比了OSS与文件系统，分析了客户端直传的风险，并提出了多种解决方案，如服务端生成STS临时访问凭证和签名URL。通过A企业案例展示了实际应用效果，并提供了多种OSS安全最佳实践。希望本文能帮助读者更好地理解和应对OSS的安全挑战，保护数据安全。
阿里云oss上传svg等格式的文件，返回的路径打开后是下载而不是预览
zh的博客
07-15 1828
在做的一个项目，阿里云oss上传svg等格式的文件，返回的路径打开后是下载而不是预览。之后web同事跟产品说不好处理，换回了使用jpg格式的文件。但是最终这个问题都是要解决的，产品要求下期也要上传svg格式的文件。 很巧的是另一个项目使用的也是阿里云的oss文件上传，就没有这个问题，而且是同一个项目，不同的bucket而已。而且这个oss账号跟我们的是同一个账号，代码也是一样的，就觉得问题可能出在了阿里云oss的bucket配置上。寻求运维同事帮助之后，最终解决了问题。 阿里云有这样一个配置
OSS头像上传，JS直传带回调图片，仅使用HTML+JS文件更改阿里云OSS直传接口代码亲测可用
03-08
OSS直传带图片回调，纯html+JS文件，适用于头像图片上传， 不带按钮，可直接点击头像图片上传，带进度条，上传后回调上传后的图片 更改阿里云OSS直传接口代码 优化JS代码，带上传后图片回调。我自己测了可以用
Delphi阿里云对象存储 OSS【支持上传文件、下载文件、删除文件、创建目录、删除目录、Bucket操作等】
11-07
【delphi阿里云对象存储OSS】支持 获取Bucket列表、设置Bucket权限）、创建Bucket、删除Bucket、获取文件列表、上传文件、下载文件、删除文件、读取文件、判断文件是否存在、创建目录、删除目录等功能。api接口文档...
阿里云OSS直传带回显，纯html+JS文件，适用于头像图片上传等，亲测可用
03-07
"oss上传回调"可能是指阿里云OSS服务端的回调接口，当文件上传成功后，OSS会主动发送一个通知到预先配置的URL，以便于应用可以进行后续处理，例如更新数据库记录。 在提供的压缩包文件"OSS直传代码"中，可能包含了...
oss文件上传(带回调)
11-26
【标题】"OSS文件上传(带回调)"指的是在Spring Boot应用中集成对象存储服务(Object Storage Service，简称OSS)，并实现文件上传功能，同时具备回调机制，即在文件上传完成后，系统会自动执行预设的回调函数，通常...
Html直接表单直传阿里云存储OSS示例
weixin_30835933的博客
11-06 484
目的 本教程的目录是通过三个例子介绍如何在Html表单提交直传OSS 第一个例子：讲解如何在JS直接签名，直接表单上传到OSS 第二个例子：讲解如何在从后端PHP获取签名，然后直接表单上传到OSS 第三个例子：讲解如何在从后端PHP获取签名及上传后回调。然后直接表单上传到OSS，OSS回调完应用服务器再返回给用户。 背景 每个用OSS的用户，都会用到上传。由于是网页...
记一次文件上传引发的OSS_ACCESS_KEY泄露
千寻的博客
01-16 965
* 由于是教育系统，可以进行`任意用户注册`; * 由于在身份认证的模块，可以进行`文件上传`，`返回数据包`中泄露`OSS_ACCESS_KEY`; * 通过图形化管理工具`ossbrowser`，进行管理，进一步发现`信息泄露`.
阿里云OSS对象存储Bucket 劫持漏洞复现
weixin_52501704的博客
09-06 2756
阿里云OSS对象存储Bucket 劫持漏洞复现
阿里云OSS文件上传存储和删除，获取文件外网访问路径
热门推荐
qq_33683097的博客
08-04 2万+
因为项目中需要存储的数据主要是图片数据，所以使用阿里云提供的OSS存储，性价比高，也很简便。（本文一步一步操作指导最后成功都有截图） 前提工作： 已经在oss创建了bucket，就是一个项目的意思。并且设置公共读，maven依赖搜索aliyun oss第一个添加到pom 准备好 endpoint。 在下图可以找到 accessKeyId 和accessKeySecret ，建议创建一...
SpringBoot整合阿里云OSS 实现各种文件上传下载查看 (阿里云配置OSS以及postman测试)
allllloo的博客
12-14 3594
阿里云OSS,Postman上传文件,SpringBoot整合OSS
阿里云OSS前端直传踩坑
weixin_44050355的博客
04-13 2098
其他方法不多说。主要简介服务端签名后直传 这里下载的前端demo是js写的，Vue的代码可以参考 Vue的代码 下边这个图，狗日的鬼，我是没看懂。试出来的，这个表达不清晰，调接口就调接口嘛，写的是个球。 serverUrl = ‘http://88.88.88.88:8888’ 这个东西就是，前端调用后端时，后端返回给前端签名授权的，那个接口 比如我这里的 就要写成 下边是调签名返回的参数 这里的坑：path最前边不能加 / 加了这个 ‘/’就会报错 请求oss的路径需要拼接 下边贴一下前端
前端直传阿里云OSS
dan_seek的博客
08-29 1万+
前端直传阿里云OSS，支持h5，支持小程序，支持uniapp。 阿里云对象存储服务（Object Storage Service，简称OSS），是阿里云对外提供的海量、安全、低成本、高可靠的云存储服务。
阿里云oss文件上传vue
09-02
在Vue中实现阿里云OSS文件上传可以按照以下步骤进行操作： 1. 首先，在Vue项目中安装ali-oss库： ``` npm install ali-oss --save ``` 2. 在需要使用文件上传功能的组件中，引入ali-oss库： ```javascript import ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值