描述
無論編寫程式所用的語言是什麼，最具破壞性的攻擊通常都會涉及執行遠端**，攻擊者藉此可在程式上下文中成功執行惡意**。如果允許攻擊者上傳檔案到公開的可執行目錄中，則他們可以讓這些檔案中包含的惡意**在伺服器上執行。
即使程式將上傳的檔案儲存在乙個無法公開訪問的目錄中，攻擊者仍然有可能通過向伺服器環境引入惡意內容來發動其他攻擊。如果程式容易出現 path manipulation、commandinjection 或 remote include 漏洞，那麼攻擊者就可能上傳帶惡意內容的檔案，並利用另一種漏洞促使程式讀取或執行該檔案。
解決方法：
如果可以避免附件，請不要接受它們。如果程式必須接受附件，則應當只接受程式所需的特定型別的內容，從而阻止攻擊者提供惡意內容。依賴於上傳內容的攻擊通常要求攻擊者能夠提供他們自行選擇的內容。限制程式能夠接受的內容，可以在最大程度上限制可能被攻擊的範圍。檢查檔名、副檔名和檔案內容，確保它們都是應用程式所需的，並可**用程式使用。使攻擊者難以確定上傳檔案的名稱和位置。這種解決方法通常是因程式而異的，並且在以下幾個方面各不相同：將上傳的檔案儲存在乙個目錄中（目錄名稱是在程式初始化時通過強隨機值生成的）、為每個上傳的檔案分配乙個隨機名稱，以及利用資料庫中的條目跟蹤這些檔案
web安全 檔案上傳漏洞
檔案上傳漏洞 所謂的檔案上傳漏洞是指使用者上傳了乙個可執行指令碼，並通過指令碼檔案獲得執行伺服器端命令 的能力。檔案上傳本身是沒有問題的，它只是一種正常的業務需求，問題出在檔案上傳後伺服器怎麼處理 解釋檔案。檔案上傳後導致常見的安全問題一般包括 1，上傳檔案是web指令碼語言，伺服器的web容器解釋...
web安全 檔案上傳漏洞
檔案上傳漏洞 所謂的檔案上傳漏洞是指使用者上傳了乙個可執行指令碼，並通過指令碼檔案獲得執行伺服器端命令 的能力。檔案上傳本身是沒有問題的，它只是一種正常的業務需求，問題出在檔案上傳後伺服器怎麼處理 解釋檔案。檔案上傳後導致常見的安全問題一般包括 1 上傳檔案是web指令碼語言，伺服器的web容器解釋...
web安全檔案包含滲透攻擊
檔案包含滲透攻擊 嚴格來說，檔案包含漏洞是 注入 的一種。其原理就是注入一段使用者能控制的指令碼或 並讓服務端執行。注入 的典型代表就是檔案包含。檔案包含漏洞可能出現在jsp php asp等語言中，原理都是一樣的。使用檔案包含漏洞進行攻擊需要滿足兩個條件 1 web應用採用include 等檔案包...