上傳安全威脅我允許用戶上傳文件到我的服務(wù)器。我面臨哪些可能的安全威脅，如何消除這些威脅？假設(shè)我允許用戶從他們的系統(tǒng)或網(wǎng)絡(luò)上傳圖片到我的服務(wù)器。現(xiàn)在，為了檢查這些圖像的大小，我必須將它們存儲(chǔ)在/tmp文件夾。這不冒險(xiǎn)嗎？我怎樣才能將風(fēng)險(xiǎn)降到最低？另外，假設(shè)我用的是wget從用戶以我的表單上傳的鏈接下載圖片。首先，我必須將這些文件保存在我的服務(wù)器中，以檢查它們是否實(shí)際上是圖像。另外，如果一個(gè)惡作劇者給我一個(gè)URL，而我最終下載了一個(gè)滿是惡意軟件的網(wǎng)站呢？
3 回答
阿晨1998
TA貢獻(xiàn)2037條經(jīng)驗(yàn) 獲得超6個(gè)贊
當(dāng)一個(gè)文件上傳到服務(wù)器時(shí)，PHP將變量$_files[‘upupadedfile’][‘type’]設(shè)置為客戶機(jī)正在使用的Web瀏覽器提供的MIME類型。但是，文件上載表單驗(yàn)證不能僅依賴于此值。惡意用戶可以使用腳本或其他允許發(fā)送HTTPPOST請(qǐng)求的自動(dòng)應(yīng)用程序輕松上傳文件，這允許他發(fā)送假M(fèi)IME類型。 幾乎不可能編譯包含攻擊者可以使用的所有可能擴(kuò)展的列表。例如，如果代碼在托管環(huán)境中運(yùn)行，通常這樣的環(huán)境允許大量腳本語(yǔ)言，如Perl、Python、Ruby等，并且列表可以是無(wú)窮無(wú)盡的。 惡意用戶可以通過(guò)上傳名為“.htaccess”的文件輕松繞過(guò)這種檢查，該文件包含如下代碼行： AddType application/x-httpd-php .jpg
- 3 回答
- 0 關(guān)注
- 711 瀏覽
添加回答
舉報(bào)
0/150
提交
取消