任意文件上传漏洞，在网站上传代码里出现的最多，该网站漏洞大多数都会绕过上传的限制，

直接上传网站木马后门，导致可以上传asp,php,jsp等的木马脚本执行文件。攻击者可以利用此漏

洞进一步的进行服务器的入侵以及攻击。

 

如何判断网站存在任意文件上传漏洞呢？
 

 

在网站的文件上传的代码里，可以尝试上传任意格式的文件看看是否能正常上传,有的程序代码里

对上传文件的JS前端判断力，并没有做详细的安全过滤，导致可以直接绕过文件格式的限制，直

接上传脚本文件，前端的JS判断以及过滤是最不安全的，如下图所示：

 

通过上面的图片可以看出，上传的代码里只做了一个安全过滤，导致可以轻松的绕过文件上传，

我们通过post抓包的方式来截取数据，并修改数据包，把上传的后缀名改成.php，然后上传，

数据包返回，提示上传成功。Sine安全公司是一家专注于：网站安全、服务器安全、网站安全

检测、网站漏洞修复,渗透测试,安全服务于一体的网络安全服务提供商。

 

 

任意文件上传漏洞，通常是因为网站代码里的上传代码里并没有对一些脚本文件的后缀格式，

进行详细的安全过滤，包括文件类型判断，导致可以上传任意文件到网站根目录下，通常攻

击者上传的都是webshell，网站脚本后门。攻击者通过人以文件上传漏洞上传木马，对服务

器以及网站的正常安全运转，造成严重的安全危害。
 

 

网站漏洞修复

 

一、对上传的文件，返回数据包时隐藏上传文件的路径。

 

二、服务器端的安全过滤，对上传文件的类型、以及后缀名进行严格的把控。

 

三、上传类型进行安全限制，JS前端以及后端一起做双层的安全限制，对文件的扩展名安全检

测，MIME文件类型安全检测，上传的文件大小限制。

 

四、对上传的目录进行文件夹安全限制，去掉目录的脚本执行权限，只有普通jpg图片等运行，

以及读写权限。