上传漏洞案例实战
文件上传漏洞原因分析
1.对于上传文件的后缀名没有做限制
-
一个是前端js没有做限制(前端的限制是不可靠的，是可以串改的)
-
还有就是后端没有做限制
2.对于上传文件的MIMETYPE没有做限制
-
后端没有对上传文件的类型没有做检查
-
HTTP协议规定了上传资源的时候在header上加文件的MIMETYPE，来识别文件的类型，这个动作是由浏览器完成的
-
名称叫做：Content-Type。但是光检查这个也不足以解决这个漏洞
3.权限是上没有对于上传的文件目录设置不可执行权限
4.对于web server对于上传文件或者指定目录的行为没有做限制
- 应该对于上传的文件和所存放的目录应该是有指定的
