Web安全课程：文件漏洞详解与实战.pptx

掌控安全-Web安全微专业讲师：8.1文件上传解析漏洞（一）

等待开课

等待开课今日课程：文件上传解析漏洞（一）等待其他同学入场（8.00-8.05）8.05准时开讲！#好课程帮忙推#快推荐同学、同事一起加入班级，来学习课程啦！推荐人可以得到600元Kali课程优惠卷(可与活动时优惠叠加)，被介绍学员可得到300元正式课优惠卷和300元Kali课程优惠卷(可与活动时优惠叠加)。#详情联系课程顾问#公众号：掌控安全EDU#欢迎大家添加我的号：zkaq-niefeng

本章内容文件上传总结#本节主要内容总结一、客户端检测二、服务端检测三、靶场大闯关

客户端检测客户端校验：一般是在网页上写一段Js脚本，用Js去检测，校验上传文件的后缀名，有白名单也有黑名单。判断方式：在浏览加载文件，但还未点击上传按钮时便弹出对话框，内容如：只允许上传.jpg/.jpeg/.png后缀名的文件，而此时并没有发送数据包，所以可以通过抓包来判断，如果弹出不准上传，但是没有抓到数据包，那么就是前端验证前端验证非常不可靠，传正常文件改数据包就可以绕过，甚至关闭JS都可以尝试绕过黑白名单机制： 黑名单：不允许上传什么 白名单：只允许上传什么 白名单比黑名单更安全靶场第一题：

服务端检测服务端检测几个常见的手段： 检查Content-Type（内容类