一、漏洞原理文件上傳漏洞本質(zhì)服務(wù)器未對(duì)上傳文件做嚴(yán)格有效校驗(yàn)導(dǎo)致惡意腳本webshell被上傳并執(zhí)行。攻擊者通過(guò)上傳功能點(diǎn)→構(gòu)造惡意文件→繞過(guò)校驗(yàn)→找到訪問路徑→執(zhí)行腳本獲得服務(wù)器控制權(quán)。漏洞成立四條件有可利用上傳功能校驗(yàn)可被繞過(guò)上傳目錄Web可訪問且能解析執(zhí)行攻擊者知道文件訪問路徑。文件上傳是最高危漏洞之一成功利用可直接拿下服務(wù)器是滲透測(cè)試最常用突破口。二、常見繞過(guò)方式1. 后綴名繞過(guò)大小寫繞過(guò)Php、pHp、雙寫繞過(guò)pphphp、特殊后綴繞過(guò).phtml、.php3、.asa、點(diǎn)空格繞過(guò)shell.php.、shell.php 、::$DATA繞過(guò)、%00截?cái)嗬@過(guò)老舊PHP版本。2. MIME類型繞過(guò)修改請(qǐng)求Content-Type為image/jpeg等合法類型輕松繞過(guò)——MIME是客戶端發(fā)的完全不可信只能輔助校驗(yàn)。3. 文件頭繞過(guò)制作圖片馬把惡意腳本和正常圖片拼接在一起文件頭是正常圖片頭能通過(guò)校驗(yàn)但文件末尾包含可執(zhí)行代碼。更高級(jí)的把代碼藏在EXIF信息里。4. 解析漏洞繞過(guò)利用Web容器本身的解析缺陷如IIS 6.0目錄解析/分號(hào)解析、Apache后綴名從右往左解析、Nginx路徑解析漏洞等即使后綴是圖片也能被當(dāng)成腳本執(zhí)行。5. .htaccess繞過(guò)Apache環(huán)境下上傳自定義.htaccess文件把.jpg映射成PHP執(zhí)行隱蔽性強(qiáng)。6. 條件競(jìng)爭(zhēng)繞過(guò)利用上傳和校驗(yàn)刪除的時(shí)間差多線程上傳同時(shí)訪問臨時(shí)文件趕在刪除前執(zhí)行webshell。三、完整防御體系8層防護(hù)1. 白名單后綴校驗(yàn)核心只允許明確需要的后綴絕對(duì)不用黑名單。統(tǒng)一轉(zhuǎn)小寫、規(guī)范化文件名去末尾點(diǎn)和空格、禁止上傳配置文件。2. MIME類型校驗(yàn)輔助檢查Content-Type只作為輔助不能單獨(dú)依靠。3. 文件內(nèi)容校驗(yàn)用getimagesize()檢測(cè)圖片尺寸或用GD/ImageMagick重新生成圖片——重繪是防御圖片馬最有效的方法徹底清除隱藏的惡意代碼。4. 文件隨機(jī)重命名完全丟棄原始文件名用UUID/時(shí)間戳隨機(jī)數(shù)生成新文件名讓攻擊者找不到上傳后的文件路徑同時(shí)防止路徑遍歷。5. 存儲(chǔ)路徑隔離禁止執(zhí)行最關(guān)鍵上傳文件單獨(dú)存放在Web服務(wù)器配置中禁止上傳目錄下的腳本執(zhí)行權(quán)限——即使webshell傳上去也執(zhí)行不了這是最根本的防御。上傳目錄最好放在Web根目錄之外。6. 最小權(quán)限原則Web服務(wù)用低權(quán)限賬號(hào)運(yùn)行上傳目錄只給寫入不給執(zhí)行權(quán)限降低被利用后的危害。7. 文件大小和數(shù)量限制防止攻擊者耗盡服務(wù)器磁盤和帶寬資源。8. WAF防護(hù)部署Web應(yīng)用防火墻識(shí)別webshell特征和上傳攻擊作為額外屏障。四、常見誤區(qū)只做前端校驗(yàn)前端校驗(yàn)可輕松繞過(guò)所有安全校驗(yàn)必須在服務(wù)端做黑名單校驗(yàn)后綴永遠(yuǎn)列不全危險(xiǎn)后綴必須用白名單只校驗(yàn)MIME類型完全不可信只校驗(yàn)文件頭圖片馬可輕松繞過(guò)最好重新生成圖片上傳目錄可執(zhí)行腳本最致命錯(cuò)誤上傳目錄必須禁止執(zhí)行保留原始文件名可能存在路徑遍歷漏洞必須重命名五、漏洞檢測(cè)方法依次測(cè)試不同腳本后綴能否上傳→各種后綴繞過(guò)手法能否成功→修改MIME能否繞過(guò)→圖片馬能否上傳并執(zhí)行→是否存在解析漏洞→條件競(jìng)爭(zhēng)能否繞過(guò)。必須在授權(quán)前提下測(cè)試嚴(yán)禁未授權(quán)滲透測(cè)試。