文件上传漏洞的攻击方法与防御措施研究

来源：计算机技术与发展杂志2019年第02期北京时间：

作者：郝子希;';王志军;刘振宇

摘要：简述了当今社会信息安全的重要性，说明了渗透测试技术中文件上传漏洞的基本原理，列举了文件上传漏洞能够造成的危害，对文件上传漏洞进行详细分析。由于文件上传漏洞一般伴随着服务器解析漏洞出现，结合三种不同的 Web应用容器(IIS、Apache、PHP)的解析漏洞，解释文件上传漏洞与服务器解析漏洞之间的关系，详细说明文件上传漏洞出现的原因;从 Web 站点的两种上传文件验证方式—客户端验证和服务器端验证阐述了相应的攻击技巧，通过对五种攻击方法(绕过客户端验证、绕过黑名单与白名单验证、绕过 MIME 验证、绕过目录验证和截断上传攻击)的具体实验描述了对文件上传漏洞的攻击过程，并给出了实验代码;最后针对实验中的攻击方法，提出了四类文件上传漏洞的有效防御措施，并对全文进行总结，对未来提出展望。

关键词：渗透测试;文件上传;网络安全;网络攻击;Web 漏洞