?2016-2026 Matools All rights reserved,
粵ICP備17059708號(hào)
很多客戶網(wǎng)站以及APP在上線運(yùn)營之前都會(huì)對(duì)網(wǎng)站進(jìn)行滲透測(cè)試，提前檢測(cè)網(wǎng)站是否存在漏洞，以及安全隱患，避免因?yàn)榫W(wǎng)站出現(xiàn)漏洞而導(dǎo)致重大的經(jīng)濟(jì)損失，客戶找到我們SINE安全做滲透測(cè)試服務(wù)的時(shí)候，我們都會(huì)對(duì)文件上傳功能進(jìn)行全面的安全測(cè)試，包括文件上傳是否可以繞過文件格式，上傳一些腳本文件像php,jsp,war，aspx等等，繞過上傳目錄，直接上傳到根目錄下等等的一些漏洞檢測(cè)。
那什么是文件上傳漏洞？我們SINE安全來給大家講解一下：簡(jiǎn)單來說，文件上傳就是可以上傳一些文件到網(wǎng)站以及APP里，大部分的網(wǎng)站都只允許上傳圖片格式文件，以及文檔類的文件，之所以要做滲透測(cè)試就是要檢測(cè)該上傳功能是否存在漏洞，程序源代碼里有沒有對(duì)POST過來的上傳數(shù)據(jù)進(jìn)行安全效驗(yàn)，以及文件后綴名的檢查，有些客戶網(wǎng)站并沒有做安全效驗(yàn)，導(dǎo)致可以直接上傳webshell（也叫網(wǎng)站木馬后門）到網(wǎng)站中。
當(dāng)文件上傳功能出現(xiàn)漏洞就可以直接執(zhí)行網(wǎng)站木馬文件，該webshell可以對(duì)網(wǎng)站代碼進(jìn)行操作，上傳，下載，編輯，以及數(shù)據(jù)庫操作，執(zhí)行惡意的遠(yuǎn)程代碼到服務(wù)器中，都是可以的，相當(dāng)于網(wǎng)站的管理員權(quán)限了，該漏洞的危害性較大。可能會(huì)導(dǎo)致用戶的數(shù)據(jù)泄露，以及數(shù)據(jù)庫被篡改。
根據(jù)我們SINE安全多年的滲透測(cè)試經(jīng)驗(yàn)來看，客戶網(wǎng)站存在文件上傳漏洞的地方總結(jié)如下：
1.會(huì)員上傳頭像功能
2.上傳文檔功能
3.提交意見反饋+截圖上傳
4.添加文章的圖片上傳
5.留言功能上傳圖片
存在的上傳漏洞類型：文件擴(kuò)展名繞過漏洞，以及文件解析漏洞，content-type繞過漏洞，文件名大小寫繞過上傳漏洞，文件頭繞過漏洞，JS前端繞過上傳漏洞，我們SINE安全滲透測(cè)試這么多客戶當(dāng)中，出現(xiàn)JS前端繞過漏洞頻率最多，很多程序員在設(shè)計(jì)代碼過程中，只對(duì)JS前端的訪問用戶做了安全效驗(yàn)，并沒有對(duì)網(wǎng)站后端做安全效驗(yàn)，導(dǎo)致可以直接修改后綴名進(jìn)行上傳腳本文件。我們來舉例看下：
首先該上傳功能在前臺(tái)網(wǎng)站當(dāng)中是公開的，任何一個(gè)注冊(cè)的會(huì)員都可以上傳，在更換頭像這里，可以自定義選擇圖片進(jìn)行上傳，我們通過抓包截圖post的數(shù)據(jù)包，并修改數(shù)據(jù)庫里的filename值，將擴(kuò)展名修改為jsp,php就可以直接上傳到網(wǎng)站中。
關(guān)于滲透測(cè)試中文件上傳漏洞的修復(fù)辦法是：對(duì)文件上傳的格式做白名單設(shè)置，值允許上傳jpg,png,gif,等的圖片格式文件，如果后綴名不是以上三種，直接返回上傳失敗，再一個(gè)對(duì)文件代碼做安全效驗(yàn)，不僅僅是在JS里做判斷，還要在后端做安全效驗(yàn)，對(duì)上傳的目錄地址進(jìn)行鎖定，指定上傳的目錄地址，對(duì)圖片的文件夾目錄做無執(zhí)行腳本權(quán)限，防止運(yùn)行JSP,PHP，ASP等腳本的webshell文件。如果您對(duì)網(wǎng)站目前是否存在上傳漏洞，可以找專業(yè)的滲透測(cè)試公司，國內(nèi)SINE安全，啟明星辰，綠盟都是比較不錯(cuò)的安全公司，網(wǎng)站前期上線之前一定要做滲透測(cè)試，全方位的檢測(cè)網(wǎng)站存在哪些漏洞，提前修復(fù)，促使后期網(wǎng)站平臺(tái)的發(fā)展有序進(jìn)行，不會(huì)因?yàn)槁┒炊鴮?dǎo)致業(yè)務(wù)終止。
熱門工具 換一換