关于上传防御的问题

来源：10-3 上传漏洞案例

minck

2019-06-02

关于上传的漏洞，头像上传，如果接收到危险文件，但上传时，服务器保存为"危险.jpg"，显示头像的时候，会有那些风险？怎样避免呢？

写回答

1回答

TooooBug

2019-06-12

其实课程中都有说的。上传这个过程本身是不会有风险的（除非上传处理过程有漏洞，被溢出攻击等）。我们常说的上传的漏洞主要是指“上传后的文件，被当成程序运行”，也即被上传木马。

事实上像Node.js这样的脚本，你通过构造url或者构造post请求，一般情况下是不会随意加载文件运行的，因此风险很小。但是像PHP这样的脚本，它的访问是可以由url直接指定的，如果url指定到了上传的文件，而上传的文件又被当成PHP来执行，这就相当于攻击者直接把一个程序放到了你的网站上，这是相当危险的。

避免的方法在课程中也有讲。一方面可以通过权限控制来规避，另一方面也可以严格控制上传文件的读取，通过自己的程序来读取可以一定程度上规避这种风险。

腾讯大牛亲授 Web前后端漏洞分析与防御技巧

提高每一行代码安全系数，突破前后端开发Web安全弱项

1186 学习 · 112 问题

查看课程

相似问题

当做CSRF攻击的时候攻击的页面可以请求拿到验证码吗可以的话验证码的防御不就失效了吗

回答 1

XSS攻击问题-关于URL

回答 2

验证码的值是否直接放cookies 那就不用存储

回答 1

如果篡改者既获得了兔九妹的userId又获得了sign，这两个都篡改了后端是不是还是会误判？

回答 1

Mongoose这种ODM能防sql注入吗？

回答 1

打开慕课网App查看更多内容