网络安全TOP10漏洞之文件上传漏洞

1、一句话木马

<?php @eval($_POST['wuya']);?>

2、webshell介绍

一句话木马：

（1）代码短，只有一行代码。

（2）场景多，可以单独生成文件，也可以插入到图片中。

（3）安全性高，隐匿性强，可变形免杀

小马（为一句话木马和大马铺路的）：

（1）体积小，功能少

（2）只有文件上传功能

大马：

（1）体积大，功能全

（2）能够管理数据库、文件管理、对站点进行快速的信息收集，甚至能够提权

webshell合集：

https://github.com/tennc/webshell

3、网站控制工具

中国菜刀

中国蚁剑 https://github.com/AntSwordProject/antSword

weevely https://github.com/epinna/weevely3

哥斯拉 godzilla GitHub - BeichenDream/Godzilla: 哥斯拉

冰蝎 behinder https://github.com/rebeyond/Behinder

4、文件上传漏洞原理以及危害

原理：文件上传漏洞是指用户上传了一个可执行的脚本文件，而且通过这个脚本文件获得了执行服务器端命令的能力

危害：

（1）黑链：

（2）挖矿：

（3）文件泄露

5、如何发现是否有漏洞

在线网站：

https://github.com/almandin/fuxploider

（1）、网站上传功能能正常使用

（2）、文件类型允许上传

（3）、上传路径可以确定

（4）、文件可以被访问，可以被执行或被包含

6、如何利用漏洞

利用流程：

（1）、找到上传的位置

（2）、尝试绕过校验，上传文件

（3）、获得文件位置

（4）、蚁剑连接，管理文件

7、防御漏洞

扩展名（后缀）黑白名单；

MIME类型校验（image/gif）；

文件内容头校验（GIF89a）；

对文件内容进行二次渲染；

对上传的文件重命名，不易被猜测；

不要暴露上传文件的位置；

禁用上传文件的执行权限。

8、如何绕过防御

总结：删除/禁用JS、修改MIME、等价扩展名、大小写、htaccess、双写、空格、点、::$DATA、%00截断、0x00截断、图片马、条件竞争等等。