计算机网络安全中文件上传漏洞及防御措施

孙志成

（河北工业职业技术学院 河北 石家庄 050091）

1 引言

在日常可访问的Web网页中，文件上传是一个很常见的功能：例如发布照片、提交报告、上传文档等情况时，都会涉及到文件上传功能。而如果Web服务端并没有对用户提交的数据进行严格过滤，导致包含有恶意代码的文件被上传并执行，即说明此处功能含有文件上传漏洞。文件上传漏洞是Web系统上的一个比较经典的漏洞。进行攻击的技术要求不高，产生的后果却可能会很大，比如通过上传一个WebSHELL类型的文件并成功触发后，有可能会直接得到类似shell的命令执行方法甚至获取系统的操作权限；如果Web程序是通过root用户启动的，也许一次攻击即可获得系统的最高权限。因此对于文件上传漏洞的防御，值得我们进行深入的研究。

2 攻击手段

对于不同的操作系统或不同的Web容器来说，操作命令、文件系统、文件类型都有所区别，所以攻击的细节也有所不同。但通常来说，针对此类型漏洞，攻击者的攻击过程是类似的，一般分为三个步骤。

（1）通过文件上传功能，上传包含有恶意代码的文件。此处的文件通常为木马文件，这一步骤主要是通过大量的异常文件上传，判断出Web端对于文件所做的过滤，然后绕过这些防御措施，将木马文件成功上传至目标服务器。

（2）通过浏览器的元素探测功能，或通过网络抓包，探知上传的文件保存在Web服务器的具体位置，此处并不需要精确的绝对路径，只需要获得能直接访问到木马文件的URL地址即可进行下一步攻击。……