漏洞的危害与防范总结.docVIP

深圳广播电视大学 计算机网络技术（网络管理方向）论文 关于 任意文件上传漏洞的 危害与防范措施研究 专 业： 计算机网络技术 年 级： 12秋（网络管理方向） 姓 名： 学 号： 二〇一四年十一月 摘 要 本论文详细介绍了关于任意文件上传漏洞的危害与防范措施研究，制定了一个websell漏洞防范的完整方案。主要内容有：漏洞概述、漏洞详情、相关技术分析、可考虑的防范措施、研究总结等。其中漏洞详情中主要对漏洞现象和后果进行了详细描绘，相关技术分析中主要描绘出了该漏洞的基本原理与利用该漏洞实现入侵的关键因素。可考虑的防范措施中介绍了针对该漏洞可以采取的安全防范方案。 关键字：webshell；文件上传漏洞；弱口令；网络管理 目 录 摘 要 2 第一章 漏洞概述 4 第一节 问题的提出 4 第二节 漏洞概要 4 第二章 漏洞详情 6 第三章 相关技术分析 8 第一节 webshell简介 8 第二节 webshell的权限 9 第四章 已采取的改进措施 11 第五章 可考虑的防范措施 12 第六章 结束语 14 参考文献 15 漏洞概述 问题的提出 2014年2月8日，乌云漏洞报告平台（）爆出存在任意文件上传漏洞，可导致匿名用户（入侵者）上传webshell脚本攻击工具，通过网站端口对网站服务器获得某种程度上操作的权限。 WooYun是一个位于厂商和安全研究者之间的安全问题反馈平台，在对安全问题进行反馈处理跟进的同时，为互联网安全研究者提供一个公益、学习、交流和研究的平台。 为华为技术有限公司服务器。华为是全球领先的电信解决方案供应商。该公司基于客户需求持续创新，在电信基础网络、业务与软件、专业服务和终端等四大领域都确立了端到端的领先地位。凭借在固定网络、移动网络和IP数据通信领域的综合优势，华为已成为全IP融合时代的领导者。目前，该公司的产品和解决方案已经应用于全球100多个国家，服务全球运营商50强中的45家及全球1/3的人口。其服务器的安全性问题影响面甚大，因此对本漏洞进行研究，确定其危害性，在将来的网络管理工作中注意防范、借鉴，是具有实际意义的。 漏洞概要 乌云漏洞报告平台对此漏洞概要描述如下： 缺陷编号： WooYun-2014-50428 漏洞标题： 大华为任意上传文件可控制服务器 相关厂商： 华为技术有限公司 漏洞作者： Croxy 提交时间： 2014-02-08 01:01 公开时间： 2014-03-25 03:42 漏洞类型： 文件上传导致任意代码执行 危害等级： 中 自评Rank： 10 漏洞状态： 厂商已经确认 漏洞来源： Tags标签： webshell 任意文件上传 文件上传漏洞 漏洞详情 本漏洞出现于/upload.php，即该服务器的上传文件页面。由于对上传文件没有做检查和过滤，导致可以上传任意文件，包括恶意文件。同时/upload/2014020722125922.Php 随后通过webshell可获得对服务器进一步的访问权限： 运行后台命令 获取了跨文件夹权限 相关技术分析 webshell简介 顾名思义，“web”的含义是显然需要服务器开放web服务，“shell”的含义是取得对服务器某种程度上操作权限。webshell常常用来指匿名用户（入侵者）通过网站端口对网站服务器获取某种程度上操作权限的过程及其工具。由于webshell其大多是以动态脚本的形式出现，也有人称之为网站的后门工具。但另一方面，webshell也常常被站长用于网站管理、服务器管理等等。 根据权限的不同，使用webshell可以在线编辑网页脚本、上传下载文件、查看数据库、执行任意程序命令等。 有些恶意网页脚本可以嵌套在正常网页中运行，且不容易被查杀，因此具有较高的隐蔽性。webshell可以穿越服务器防火墙，由于与被控制的服务器或远程主机交换的数据都是通过80端口传递的，因此不会被防火墙拦截。并且使用webshell一般不会在系统日志中留下记录，只会在网站的web日志中留下一些数据提交记录，没有经验的管理员是很难看出入侵痕迹的。 虽然很多后门都可以被杀毒软件等检查出来，但是很多入侵者会把webshell后门代码加密等处理，以使webshell免于被查杀，这被成为免杀，相应的后门被称为免杀后门。常见的webshell后门有“海阳顶端网asp后门”、“杀手十三”等，还有一句话后门 %eval request(value)% 、%execute request(value)% 、%execute(request(value))% 及其加密变形。当然webshell还有jsp，php等多种脚本形式的。 webshell的权限 拿到webshell