漏洞概述

文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。”文件上传“本身没有问题，但有问题的是，文件上传后，服务器怎么处理，解释文件。

文件上传后导致的问题一般有：

  • 上传文件是Web脚本语言，服务器的Web容器解释并执行了用户上传的脚本，导致代码执行；
  • 上传文件是Flash的策略文件crossdomain.xml，黑客用以控制FLash在该域下的行为（其他通过类似方式控制策略文件的情况类似）；
  • 上传文件是病毒、木马文件，黑客用以诱骗用户或者管理员下载执行。
  • 上传文件是钓鱼图片或为包含了脚本的图片，在某些版本的浏览器中会被作为脚本执行，被用于钓鱼或欺诈。

在大多数情况下，文件上传漏洞一般都是指“上传Web脚本能够被服务器解析”的问题，也就是通常所说的webshell的问题。要完成这个攻击，要满足如下几个条件：

  1. 上传的文件能够被Web容器解释执行。所以文件上传后所在的目录要是Web容器所覆盖到的路径。
  2. 用户能够从Web上访问这个文件。如果文件上传了，但用户无法通过Web访问，或者无法使得Web容器解释这个脚本，那么也不能称之为漏洞。
  3. 用户上传的文件若被安全检查、格式化、图片压缩等功能改变了内容，则也可能导致攻击不成功。

设计安全的文件上传功能

  1. 文件上传的目录设置为不可执行

    很多大型网站的上传应用，文件上传后会放到独立的存储上，做静态文件处理，一方面方便使用缓存加速，降低性能损耗；另一方面也杜绝了脚本执行的可能。

  2. 判断文件类型

    结合使用MIME Type、后缀检查等方式。对于图片的处理，可以使用压缩函数或者resize函数，在处理图片的同时破坏图片中可能包含的HTML代码。

  3. 使用随机数改写文件名和文件路径

    使用户访问不到这个文件。

  4. 单独设置文件服务器的域名

    由于浏览器同源策略的关系，一系列客户端攻击将失效，比如上传crossdomain.xml、上传包含JavaScript的XSS利用等问题将得到解决。但能够如此设置，还要看具体的业务环境。