(word)文件上传漏洞防御——图片写马的剔除.docxVIP

文件上传漏洞防御——图片写马的剔除　　 ?　　最近回顾了一下CasperKid大牛在2011年11月发布的Upload Attack Framework，非常有感触，写得非常好，想深入了解这个漏洞的都推荐看看。　　AD： 2013大数据全球技术峰会低价抢票中　　最近回顾了一下CasperKid大牛在2011年11月发布的Upload Attack Framework，非常有感触，写得非常好，想深入了解这个漏洞的都推荐看看。　　上传功能常见于图片的上传，例如博客头像设置，广告位图片上传等。　　上传检测方法在paper中也写的比较明朗，这里总结一下：　　1. 客户端使用JS对上传图片做检测，例如文件大小，文件扩展名，文件类型　　2. 服务端检测，例如文件大小(免得拒绝服务)，文件路径(避免0x00截断，目录遍历)，文件扩展名(避免服务器以非图片的文件格式解析文件)，文件类型(避免修改Content-Type为image/jpeg等)，文件内容(避免图片写马)　　上传检测绕过的方法，也总结一下：　　1.客户端检测，相当于没有检测，可以使用HTTP代理例如burp绕过　　2.服务端检测，一般采用白名单+黑名单的方式，但也极有可能出纰漏。例如大小写，不在名单内的特例，操作系统bt特性(windows系统会自动去掉文件名最后面的点和空格)，0x00截断，服务器文件解析漏洞，最后还有图片写马绕过