《Web安全程序设计与实践》课件项目13.pptxVIP

项目13文件上传漏洞

【项目描述】在本项目对文件上传漏洞和防护进行实训。本项目包含四个任务，首先搭建PHP5.3.3和Apache2.2的Web平台，然后建立一个基于文件类型白名单过滤的文件上传功能的网站，接下来使用Fiddler进行MIME上传漏洞攻击和0x00截断上传漏洞攻击，最后通过判断路径变量、文件重命名和设置非Web目录保存文件的方式进行文件上传漏洞的防护。通过本项目实训，可以解释和分析文件上传漏洞产生的原理和危害，能够应用多种方式防护文件上传漏洞。

【知识储备】文件上传漏洞产生的原因文件上传漏洞是指由于服务器对于用户上传部分控制不严格，导致攻击者可以通过各种绕过方式上传恶意的可执行网页文件（通常称为网页木马）到服务器，进而实现对网站的控制。文件上传漏洞的类型上传漏洞主要有三种：一是绕过MIME类型检测、二是文件类型过滤不严格、三是利用IIS、PHP或者JDK等某些版本存在的文件路径0X00截断漏洞。

【任务13-1】项目平台搭建在本任务，搭建一个PHP5.3.3和Apache2.2的Web服务平台并进行服务功能测试。13-1-1安装PHP5.3.313-1-2安装Apache2.213-1-3服务测试

【任务13-2】建立基于白名单过滤的上传网站在本任务，在项目12的基础上，增加文件上传的功能，并实现文件类型的白名单过滤。最后进行文件上传功能测试。本网站只提供了