文件上传漏洞渗透及防御

在我们访问网站时很多时候需要我们上传文件，如头像、PDF文档等
按照规定，需要我们上传图片的话我们会上传图片，需要我们上传文档我们会上传文档
如果网站没有对我们上传的文件信息做出检测，我们上传了一些代码。如PHP文件，我们可能就会获得一些WEB的权限

如果一个网站后台的文件上传检测安全级别很低，并不严禁，如下图的PHP源码，只是规定了上传到服务器的位置和上传的文件名，那我们就可以上传一个php一句话木马来获得webshell

以下代码时PHP的一句话木马，使用中国菜刀进行连接，单引号里的为密码


一个中安全级别的网站会检查上传文件的类型，我们像服务器发起请求时候，请求对象有很多种，如图像、html、PHP程序等等，当服务器做出响应时候，我们要根据MIME定义分别其类型，MIME被定义在Content—Type header中
下面代码中的image/jpeg就是一种MIME类型&