安全测试之文件上传攻击

文件上传攻击 

​文件上传类应用的范围还是很广泛的，利用这个应用同样也可以进行攻击。文件上传的方式有多种，可以通过FTP也可以通过HTTP等，对比起来，FTP的上传需要管理大量的用户帐号，并且无法进行SSL编码，安全上稍逊一筹，并且无法对不同类型的文件进行批量分类上传处理，同时在对上传文件大小、类型上无法很好的控制，因此，通过HTTP方式上传是现在很普遍的WEB用法。 
在标签中，需要将type设置为file，如input标签。
现在假设说，我们先制作一个待上传的文件，如：

 example.php 
<?
php echo "success" 
?> 

完成后，在有漏洞的页面上传该可以文件，成功后，可以查看它的路径地址（或者之前可以通过上传一张正常图片文件，来探测上传后文件们的存放地址），然后通过"http://....../example.php"就可以执行刚上传的这个文件，如果这个文件中不像我们刚刚设置的那样，只是执行打印功能，而是进行删除，覆盖、修改、或者是上传超量大小的文件、连续上传文件等，都会导致站点的无法访问。 

那么对应这个情况，如何去进行防范呢？ 
1、不开放上传功能（如果可以的话） 
2、限制上传文件的类型 
3、限制上传文件的大小 
4、隐藏文件路径 
5、检查上传文件中是否含有恶意信息（如检查图片文件是否正常编码开头结尾） 

但是对于如EXCEL类宏病毒的攻击，好象这几个方法就无效了，后续将研究宏病毒的检查和防范。