posts - 97,  comments - 5,  trackbacks - 0
@import url(http://www.blogjava.net/CuteSoft_Client/CuteEditor/Load.ashx?type=style&file=SyntaxHighlighter.css);@import url(/css/cuteeditor.css);

文件上传攻击 《转载》

文件上传类应用的范围还是很广泛的,利用这个应用同样也可以进行攻击。文件上传的方式有多种,可以通过FTP也可以通过HTTP等,对比起来,FTP的上传需要管理大量的用户帐号,并且无法进行SSL编码,安全上稍逊一筹,并且无法对不同类型的文件进行批量分类上传处理,同时在对上传文件大小、类型上无法很好的控制,因此,通过HTTP方式上传是现在很普遍的WEB用法。
在标签中,需要将type设置为file,如input标签。
现在假设说,我们先制作一个待上传的文件,如:

 example.php
<?
php echo "success"
?>

完成后,在有漏洞的页面上传该可以文件,成功后,可以查看它的路径地址(或者之前可以通过上传一张正常图片文件,来探测上传后文件们的存放地址),然后通过"http://....../example.php"就可以执行刚上传的这个文件,如果这个文件中不像我们刚刚设置的那样,只是执行打印功能,而是进行删除,覆盖、修改、或者是上传超量大小的文件、连续上传文件等,都会导致站点的无法访问。

那么对应这个情况,如何去进行防范呢?
1、不开放上传功能(如果可以的话)
2、限制上传文件的类型
3、限制上传文件的大小
4、隐藏文件路径
5、检查上传文件中是否含有恶意信息(如检查图片文件是否正常编码开头结尾)

但是对于如EXCEL类宏病毒的攻击,好象这几个方法就无效了,后续将研究宏病毒的检查和防范。


天猫 软件自动化测试开发

posted on 2014-04-01 11:49 zouhui 阅读(180) 评论(0)  编辑  收藏 所属分类: 2.软件测试 安全性

只有注册用户登录后才能发表评论。


网站导航:
 
<2014年4月>
303112345
6789101112
13141516171819
20212223242526
27282930123
45678910

常用链接

留言簿(2)

随笔分类(94)

随笔档案(94)

搜索

  •  

最新评论

阅读排行榜

评论排行榜