文件上传漏洞详解

1. 漏洞描述

文件上传漏洞是指Web应用未对用户上传的文件进行严格的安全检查（如类型、内容、路径等），导致攻击者能够上传恶意文件（如Webshell、木马等）到服务器，进而执行任意代码、控制服务器或进行其他恶意操作。该漏洞常见于允许用户上传图片、文档等功能的场景。

2. 漏洞产生条件

1. 上传功能未限制文件类型：仅依赖前端校验（如JavaScript），未在服务端验证文件扩展名、MIME类型等。
2. 文件保存路径可访问：上传后的文件存储在Web目录下，且可通过URL直接访问。
3. 文件内容未检测：未对文件内容进行安全检查（如检测恶意代码）。
4. 文件名未重命名：使用用户提供的文件名，可能导致路径遍历或覆盖关键文件。

3. 攻击原理与步骤

步骤1：绕过前端校验

• 前端校验绕过：前端通常通过JavaScript检查文件扩展名，但攻击者可修改HTTP请求（如Burp Suite拦截）直接上传恶意文件。
  • 示例：将恶意文件shell.php重命名为shell.jpg，通过Burp修改文件名和Content-Type后上传。

步骤2：绕过服务端校验

1. 扩展名绕过：

   • 黑名单策略缺陷：若黑名单未覆盖所有可执行扩展名（如php5、phtml、phar），攻击者可尝试冷门扩展名。
   • 大小写混淆：如Shell.PHp（某些系统对大小写不敏感）。
   • 特殊字符截断：利用空字符、换行符等（如shell.php%00.jpg，需特定环境）。

2. MIME类型绕过：

   • 服务端可能仅检查HTTP请求中的Content-Type（如image/jpeg）。攻击者可伪造该字段（如将shell.php的Content-Type改为image/jpeg）。

3. 文件内容校验绕过：

   • 针对图片检测：在恶意代码前添加图片文件头（如GIF的GIF89a）或使用图片隐写术。
   • 针对PHP标签：使用短标签<?=或<script language="php">绕过关键词检测。

4. 路径遍历攻击：

   • 若文件名未过滤../，可通过构造文件名（如../../../shell.php）将文件上传到非预期目录。

4. 漏洞利用示例

假设一个图片上传功能仅前端校验扩展名，服务端未做任何检查：

1. 攻击者准备一个包含Webshell的PHP文件：

   <?php system($_GET['cmd']); ?>
   

2. 通过Burp Suite拦截上传请求，修改文件名从shell.jpg为shell.php，Content-Type从image/jpeg改为application/x-php。
3. 上传成功后，访问http://target.com/uploads/shell.php?cmd=id，服务器执行系统命令并返回结果。

5. 进阶攻击技巧

1. 结合其他漏洞：

   • 文件包含漏洞：若应用存在本地文件包含（LFI），可上传图片马（含恶意代码的图片），再通过LFI执行代码。
   • 解析漏洞：利用服务器解析特性（如Apache的file.php.jpg可能被解析为PHP）。

2. 竞争条件攻击：

   • 若服务端先保存文件再检测内容，攻击者可多次上传恶意文件，在删除前快速访问执行。

6. 防御措施

1. 白名单验证：

   • 仅允许特定扩展名（如jpg、png）和MIME类型，拒绝可执行文件。

2. 文件内容检测：

   • 使用图像处理库重构图片（破坏隐藏代码）。
   • 扫描文件内容中的危险函数或标签。

3. 重命名文件：

   • 使用随机生成的文件名（如UUID），避免用户控制文件名。

4. 隔离存储：

   • 将上传文件存储在Web目录外，通过脚本代理访问（如PHP的readfile()）。

5. 限制文件权限：

   • 设置上传目录无执行权限（如通过.htaccess禁用PHP解析）。

6. 安全配置：

   • 定期更新服务器软件，避免解析漏洞。

7. 总结

文件上传漏洞的危害性高，防御需结合多层次校验（类型、内容、存储），避免依赖单一防护机制。开发人员应遵循“永不信任用户输入”原则，从设计上杜绝恶意文件执行的可能。