记一次文件上传漏洞的修复过程

Posted 2022-03-11 星球守护者

程序员：开发完成文件上传功能，可以正常上传任意文件

hack测试：发现文件上传功能，没有做任何限制，导致可以上传脚本并执行

程序员：在前端使用js限制一下文件上传的后缀吧

hack测试：使用burp上传并提交，绕过js验证，还是可以利用上传脚本

程序员：在服务器限制一下文件上传的后缀`，禁止上传php\\html等后缀

hacke测试：你的黑名单验证没有写全，可以上传php3后缀的文件

程序员：限制白名单，只允许上传png\\gif文件

hacke测试：上传的时候用00截断，比如xx.php.png，上传之后变成xx.php,又成功执行了

程序员：上传的文件名进行随机化处理，随机字符串+图片后缀

hacke测试：利用平台的解析漏洞，在上传的文件中添加代码，进行解析

程序员：升级版本，检测图片内容，如果又恶意字符禁止上传策略，检测图片头，不满足条件不允许上传

程序员：绝招，把用户上传的所有文件存放在阿里云OSS中存储，不在web服务，就算上传脚本也只能下载不能解析