一、文件上传漏洞的原理
由于程序代码未对用户提交的文件进行严格的分析和检查,导致攻击者可以上传可执行的代码文件,从而获取web应用的控制权限。
常见于上传功能,富文本编辑器。
二、文件上传漏洞的防御
1、上传目录设置为不可执行;
2、严格判断文件类型,使用白名单而不是黑名单;
3、使用随机数改写上传后的文件名和文件路径;
4、单独设置文件服务器及域名;
一、文件上传漏洞的原理
由于程序代码未对用户提交的文件进行严格的分析和检查,导致攻击者可以上传可执行的代码文件,从而获取web应用的控制权限。
常见于上传功能,富文本编辑器。
二、文件上传漏洞的防御
1、上传目录设置为不可执行;
2、严格判断文件类型,使用白名单而不是黑名单;
3、使用随机数改写上传后的文件名和文件路径;
4、单独设置文件服务器及域名;