上傳解析漏洞

A. 文件上傳漏洞成因是什麼

原因是：
在 WEB 中進行文件上傳的原理是通過將表單設為 multipart/form-data，同時加入文件域，而後通過 HTTP 協議將文件內容發送到伺服器，伺服器端讀取這個分段 (multipart) 的數據信息，並將其中的文件內容提取出來並保存的。通常，在進行文件保存的時候，伺服器端會讀取文件的原始文件名，並從這個原始文件名中得出文件的擴展名，而後隨機為文件起一個文件名 ( 為了防止重復 )，並且加上原始文件的擴展名來保存到伺服器上。
文件解析漏洞，是指中間件（Apache、nginx、iis等）在解析文件時出現了漏洞，從而，黑客可以利用該漏洞實現非法文件的解析。

需要注意的是解析漏洞與上傳漏洞是兩碼事，文件解析漏洞是基於文件上傳之後而言的。
比如，Apache中間件，是c、c++混合寫成的，當Apache中間件出現了解析漏洞，即：c、c++編程出現了漏洞，無論我們php代碼層面如何的安全，都沒辦法抵擋黑客的攻擊，因為現在的漏洞已經與php代碼層無關了，已經是底層的安全問題了，文件解析漏洞就是因為Apache中間件c、c++編程出現了漏洞，導致黑客可以利用該漏洞解析非法文件。
所以，底層安全比任何安全都要重要，至少我們從現在起，要開始重視底層安全了。

B. 什麼是文件上傳漏洞

文件上傳漏洞是指：由於程序員未對上傳的文件進行嚴格的驗證和過濾，而導致的用戶可以越過其本身許可權向伺服器上傳可執行的動態腳本文件。如常見的頭像上傳，圖片上傳，oa辦公文件上傳，媒體上傳，允許用戶上傳文件的地方如果過濾不嚴格，惡意用戶利用文件上傳漏洞，上傳有害的可以執行腳本文件到伺服器中，可以獲取伺服器的許可權，或進一步危害伺服器。

非法用戶可以上傳的惡意文件控制整個網站，甚至是控制伺服器，這個惡意腳本文件，又被稱為webshell，上傳webshell後門之後可查看伺服器信息、目錄、執行系統命令等。

文件上傳的類型：

1、前端js繞過

在文件上傳時，用戶選擇文件時，或者提交時，有些網站會對前端文件名進行驗證，一般檢測後綴名，是否為上傳的格式。如果上傳的格式不對，則彈出提示文字。此時數據包並沒有提交到伺服器，只是在客戶端通過js文件進行校驗，驗證不通過則不會提交到伺服器進行處理。

2、修改content-type繞過

有些上傳模塊，會對http類型頭進行檢測，如果是圖片類型，允許上傳文件到伺服器，否則返回上傳失敗，因為服務端是通過content-type判斷類型，content-type在客戶端可被修改。

3、繞黑名單

上傳模塊，有時候會寫成黑名單限制，在上傳文件的時獲取後綴名，再把後綴名與程序中黑名單進行檢測，如果後綴名在黑名單的列表內，文件將禁止文件上傳。

4、htaccess重寫解析繞過

上傳模塊，黑名單過濾了所有的能執行的後綴名，如果允許上傳.htaccess。htaccess文件的作用是：可以幫我們實現包括：文件夾密碼保護、用戶自動重定向、自定義錯誤頁面、改變你的文件擴展名、封禁特定IP地址的用戶、只允許特定IP地址的用戶、禁止目錄列表，以及使用其他文件作為index文件等一些功能。

在htaccess里寫入SetHandlerapplication/x-httpd-php則可以文件重寫成php文件。要htaccess的規則生效，則需要在apache開啟rewrite重寫模塊，因為apache是多數都開啟這個模塊，所以規則一般都生效。

5、大小寫繞過

有的上傳模塊 後綴名採用黑名單判斷，但是沒有對後綴名的大小寫進行嚴格判斷，導致可以更改後綴大小寫可以被繞過，如PHP、Php、phP、pHp。

C. 文件上傳漏洞有哪些挖掘思路

文件上傳漏洞作為獲取伺服器許可權最快的方式，雖然相關資料很多，但很多人對上傳校驗方式、如何針對性繞過檢測、哪種上傳和解析的場景會產生危害等還是比較模糊。本文作一些闡述，然後補充一些除了上傳webshell的其他非常規挖掘姿勢，包括XSS、重定向、Dos、CSRF等等。
1、基礎知識：
要深入了解文件上傳，必須了解上傳屬性、常見文件的結構、圖形處理函數等內容。
1） 報文特點：
觀察文件上傳報文的特點：
Header中Content-Type特徵有二：
1.multipart/form-data（form表單的enctype屬性，規定為二進制數據）
2.boundary字元串（作用為分隔符，以區分POST數據）
POST內容特徵有五：
1.Content-Disposition：form-data
2. name：input表單名
3.filename：文件名
4.Content-Type：定義文件的類型和網頁的編碼，決定瀏覽器將以什麼形式、什麼編碼讀取這個文件；
5.boundary：Content-Type的值前面加了兩個---

2） 常見校驗規則
現存常用的上傳校驗規則無非下面幾類：
1.客戶端javascript校驗（後綴名）
2.文件頭content-type欄位校驗（image/gif）：附帶參數
4.後綴名黑/白名單校驗：擴展名
5.文件內容頭校驗：GIF89a
6.文件內容校驗：文件信息，二次渲染
7.自定義正則校驗
3）一個澄清
文件上傳和文件解析是兩個過程，即使我們上傳的是php文件，但解析為圖片，訪問php文件會顯示「圖片無法顯示」；或者我們上傳的是jpg文件，但裡面混有shell腳本，若被解析為php文件也會執行；又或者上傳處沒法繞過檢測，只能上傳jpg文件，但在其他功能處存在文件包含等功能，仍可執行成功。
還是回到安全的本質，上傳是「輸入」，那文件解析就是「輸出」，任何漏洞挖掘都需要結合輸入+輸出。

2、繞過技巧：
這里匯總一些實戰中較常用的繞過技巧：
1）後綴名黑名單
以下替換後綴也可以解析為shell：
php：.phtml,.phpt,.php3,.php3p
asp：.aspx，asmx，ashx，web.config
perl:.pl,.pm,.cgi,.lib
jsp:.jspx,.jsw,.jsv,.jspf
Coldfusion:.cfm,.cfml,.cfc,.dbm
另外可以配合操作系統的文件命名規則：
.php.,.php空格，.php:1.jpg,.php::$DATA等
這些後綴的文件會被windows系統自動去掉不符合規則符號後面的內容，從而只留下.php。
2）後綴名白名單
除了結合各種伺服器解析特性，較常用的是Null Byte Injection空位元組注入，插入空位元組值的原因是某些應用程序伺服器腳本語言使用c/c++庫來檢查文件名和內容。在C/C ++中，一行以/00結尾或稱為NullByte。因此，只要解釋器在字元串的末尾看到一個空位元組，就會停止讀取，認為它已經到達字元串的末尾。
如，我們將要上傳的Happy.jpg的名稱更改為Happy.phpA.jpg，然後上傳文件，在Burp中捕獲請求，切換到Hex視圖。在字元串視圖中找到文件名。查看相應的Hex表，並將41（'A'）替換為00（為空位元組）。結果字元串變為Happy.php（空）.jpeg。由於php解釋器在內部使用C語言庫，它將停止讀取Happy.php後的文件名，文件將保存為Happy.php。
另一種繞過白名單的方法是使用雙後綴：shell.php.jpg。

D. 常見的漏洞類型有哪些

常見的漏洞類型如下
一:按照漏洞所屬類型來區分:

1，客戶端漏洞：
XSS（跨站腳本攻擊）
CSRF（跨站請求偽造）
XXE（XML外部實體注入）
2，服務端漏洞：
SQL注入
文件上傳漏洞
伺服器請求偽造（SSRF）
反序列化
命令執行漏洞
文件包含漏洞
邏輯漏洞
越權漏洞
敏感信息泄露

按照漏洞特徵類型區分：
1，注入類
SQL注入
XSS（跨站腳本攻擊）
XXE（XML外部實體注入）
CSRF（跨站請求偽造）
2，文件操作類
3，許可權控制類
4，命令執行類

E. 文件上傳漏洞的類型有哪些

1、 前端檢測繞過
有的站點只在前端對文件的類型有所限制，我們只需用bp抓包然後修改文件後綴名就能繞過這種檢測。
2、 文件頭檢測繞過
有的站點使用文件頭來檢測文件的類型，這種檢測可以在shell前加入相應的位元組一繞過檢測，幾種常見的文件類型的頭位元組如下：

3、 後綴檢測繞過
部分伺服器僅根據文件後綴、上傳時的信息或者文件頭來判斷文件類型，此時可以繞過。php由於歷史的原因，部分解釋器可能支持符合正則/ph(p[2-7]?|t(ml)?)/的後綴，如php/php5/pht/phtml/shtml/pwml/phtm等。如果後端對文件名進行了過濾，可以嘗試雙寫文件名，比如1.pphphp。
4、 系統命名繞過
在windows系統中，上傳不符合windwos命名規則的文件名會被windows系統自動去掉不符合規則符號後面的內容，例如：test.asp.、test.asp(空格)、test.php:1.jpg、test.php:: D A T A 、 t e s t . p h p : : DATA、test.php:: DATA、test.php::DATA…這些文件上傳到伺服器端之後都會變成test.php
在linux系統下，可以嘗試上傳文件後綴名為大小寫混用的Php文件。
5、 文件包含繞過
在文件包含的時候，為了靈活包含文件，將被包含文件設置為變數，通過動態變數來引入需要包含的文件，用戶可以對變數的值進行控制，而伺服器端未對變數進行合理的校驗，這樣就導致所包含的文件有可能存在惡意代碼。比如1.php
<?php $file=$_GET[『file』]; include($file); ?>
這個程序就包含了一個文件，我們在1.txt文件中寫入
<?php phpinfo(); ?>
然後將這個文件包含在1.php中1.php?file=1.txt這樣
<?php phpinfo(); ?>就成功寫入1.php這個文件當中，我們訪問1.php這個文件的時候就能出現php信息那個頁面。利用這個漏洞我們就可以進行文件上傳，我們只需包含一個一句話木馬內容的txt就能用菜刀連接，這樣就成功執行了文件上傳。
6、 解析漏洞繞過
目錄解析：在網站中建立名稱為*.asp、.asa格式的文件夾時，其文件夾下面的文件都會被當做asp執行。
文件解析：當文件名為.asp;1.jpg時，也會被當做asp執行
Apache解析漏洞：Apache在解析文件時，是從右往左，如果遇到不認識的擴展名時，就會繼續向左判斷，例如1.php.rar就會被當做
php解析。
IIS 7.0/IIS 7.5/Nginx<0.8.3畸形文件解析漏洞，當訪問http://xxx.com/1.jpg/1.php時，此時1.php不存在，就會將1.jpg當做php文件去執行，所以如果存在該漏洞，將php木馬後綴改成jpg然後訪問1.jpg/1.php然後1.jpg就會被當成1.php來執行。
.htaccess，該文件裡面的代碼如下：
<FilesMatch 「1」>
SetHandler application/x-httpd-php

這段代碼的意思就是文件名包含」1」這個這個字元串就會被當成php文件來處理。但是值得注意的是上傳.htaccess必須是網站根路徑。
7、 文件截斷繞過
00截斷：由於00代表結束符，所以會把00後面的所有字元刪除。
能利用這個漏洞的前提是，php版本要小於5.3.4，magic_quotes_gpc需要為OFF狀態。我們用bp進行攔包之後，需要send to repeater,然後在hex中，在php後面添加00
8、 競爭條件攻擊
一些網站上傳文件邏輯上是允許上傳任意文件的，然後檢查上傳文件的內容是否包含webshell腳本，如果包含則刪除該文件，這里存在的問題是文件上傳成功之後和刪除文件之間存在一個短的時間差，攻擊者就可以利用這個時間差來上傳漏洞攻擊。攻擊者先上傳一個webshell腳本1.php內容如下：
<?php fputs(fopen(『../shell.php』,』w』),』<?php @eval($_POST[a]) ?>』); ?>
代碼內容就是生成一個新的webshell，shell.php，那麼當1.php上傳成功之後，我們快速訪問這個文件，這時就會在伺服器端當前目錄下自動生成shell.php，這時就利用時間差完成了webshell的上傳。

F. 文件上傳漏洞及解析漏洞總結

• 首先搭建phpstudy的安裝環境，在phpstudy網站根目錄建立php演示文件夾，放入php文件上傳代碼。

• php文件上傳漏洞演示代碼，代碼未限制任何文件屬性的上傳。

• 寫一個phpinfo.php文件,通過瀏覽器訪問進行上傳。

• 提示上傳成功，保存於uploads路徑中，可以猜想保存路徑為http://10.10.10.1/php/uploads

• 嘗試訪問phpinfo.php文件使用剛才猜想的路徑，http://10.10.10.1/php/uploads/phpinfo.php,phpinfo函數被執行

G. 文件上傳漏洞

在上網的過程中，經常會將一些如圖片、壓縮包之類的文件上傳到遠端伺服器進行保存。文件上傳攻擊指的是惡意攻擊者利用一些站點沒有對文件的類型做很好的校驗，上傳了可執行的文件或者腳本，並且通過腳本獲得伺服器上相應的權利，或者是通過誘導外部用戶訪問、下載上傳的病毒或木馬文件，達到攻擊的目的。為了防範用戶上傳惡意的可執行文件和腳本，以及將文件上傳伺服器當做免費的文件存儲伺服器使用，我們需要對上傳的文件類型進行白名單（非黑名單，這點非常重要）校驗，並且限制上傳文件的大小，上傳的文件需要進行重新命名，使攻擊者無法猜測到上傳文件的訪問路徑。
對於上傳的文件來說，不能簡單地通過後綴名稱來判斷文件的類型，因為惡意攻擊可以將可執行文件的後綴名稱改成圖片或者其他後綴類型，誘導用戶執行。因此，判斷文件類型需要使用更安全的方式。很多類型的文件，起始的幾個位元組內容是固定的，因此，根據這幾個位元組的內容，就可以確定文件類型，這幾個位元組也被稱為魔數( magic number)。

H. 文件上傳漏洞攻擊方法有什麼

文件上傳漏洞是什麼？怎樣防禦文件上傳漏洞攻擊？文件上傳漏洞是web安全中經常利用到的一種漏洞形式。這種類型的攻擊從大的類型上來說，是攻擊 數據與代碼分離原則 的一種攻擊。
一些web應用程序中允許上傳圖片，文本或者其他資源到指定的位置，文件上傳漏洞就是利用這些可以上傳的地方將惡意代碼植入到伺服器中，再通過url去訪問以執行代碼
造成文件上傳漏洞的原因是
對於上傳文件的後綴名（擴展名）沒有做較為嚴格的限制
對於上傳文件的MIMETYPE 沒有做檢查
許可權上沒有對於上傳的文件的文件許可權，（尤其是對於shebang類型的文件）
對於web server對於上傳文件或者指定目錄的行為沒有做限制
下面就閑話一些文件上傳漏洞的防禦方式和攻擊者的繞過方式
1.前端限制
function check(){
var filename=document.getElementById("file");
var str=filename.value.split(".");
var ext=str[str.length-1];
if(ext=='jpg'||ext=='png'||ext=='jpeg'||ext=='gif'){
return true;
}else{
alert("這不是圖片！")
return false;
}
return false;
}
在表單中使用onsumbit=check()調用js函數來檢查上傳文件的擴展名。這種限制實際上沒有任何用處，任何攻擊者都可以輕而易舉的破解。只能用於對於用戶完全信任的情況下，很難稱之為一種安全措施只能稱之是一種防止用戶誤操作上傳的措施，
反制：
隨便的編輯一下頁面/用burpsuite/寫個小腳本就可以突破之，無須多言
2.檢查擴展名
顧名思義，就是在文件被上傳到服務端的時候，對於文件名的擴展名進行檢查，如果不合法，則拒絕這次上傳
在這里，還有一點是值得一提的，在檢查擴展名是否合法的時候，有兩種策略
黑名單策略，文件擴展名在黑名單中的為不合法,示例代碼
$postfix = end(explode('.','$_POST['filename']);
if($postfix=='php'||$postfix=='asp'||$postfix=='sh'){
echo "invalid file type";
return;
}
白名單策略，文件擴展名不在白名單中的均為不合法
$postfix = end(explode('.','$_POST['filename']);
if($postfix=='jpg'||$postfix=='png'||$postfix=='gif'){
//save the file and do something next
} else {
echo "invalid file type";
return;
}
白名單策略是更加安全的，通過限制上傳類型為只有我們接受的類型，可以較好的保證安全，因為黑名單我們可以使用各種方法來進行注入和突破
反制
在一些 webserver 中，存在解析漏洞
1.老版本的IIS中的目錄解析漏洞，如果網站目錄中有一個 /.asp/目錄，那麼此目錄下面的一切內容都會被當作asp腳本來解析
2.老闆本的IIS中的分號漏洞：IIS在解析文件名的時候可能將分號後面的內容丟棄，那麼我們可以在上傳的時候給後面加入分號內容來避免黑名單過濾，如 a.asp;jpg
3.舊版Windows Server中存在空格和dot漏洞類似於 a.php. 和 a.php[空格] 這樣的文件名存儲後會被windows去掉點和空格，從而使得加上這兩個東西可以突破過濾，成功上傳，並且被當作php代碼來執行
4.nginx空位元組漏洞 xxx.jpg%00.php 這樣的文件名會被解析為php代碼運行
5.apache的解析漏洞，上傳如a.php.rar a.php.gif 類型的文件名，可以避免對於php文件的過濾機制，但是由於apache在解析文件名的時候是從右向左讀，如果遇到不能識別的擴展名則跳過，rar等擴展名是apache不能識別的，因此就會直接將類型識別為php，從而達到了注入php代碼的目的
3.檢查HTTP Header中的Content-Type
HTTP協議規定了上傳資源的時候在Header中加上一項文件的MIMETYPE，來識別文件類型，這個動作是由瀏覽器完成的，服務端可以檢查此類型不過這仍然是不安全的,因為HTTP header可以被發出者或者中間人任意的修改，不過加上一層防護也是可以有一定效果的
反制
使用各種各樣的工具（如burpsuite）強行篡改Header就可以，太容易將header中的
Content-Type: application/php
或者其他類型
改為
Content-Type: image/jpg
Content-Type: image/png
Content-Type: text/plain
等這些web程序允許的淚洗改附上常用的MIMETYPE表
text/plain（純文本）
text/html（HTML文檔）
text/javascript（js代碼）
application/xhtml+xml（XHTML文檔）
image/gif（GIF圖像）
image/jpeg（JPEG圖像）
image/png（PNG圖像）
video/mpeg（MPEG動畫）
application/octet-stream（二進制數據）
application/pdf（PDF文檔）
application/(編程語言) 該種語言的代碼
application/msword（Microsoft Word文件）
message/rfc822（RFC 822形式）
multipart/alternative（HTML郵件的HTML形式和純文本形式，相同內容使用不同形式表示）
application/x-www-form-urlencoded（POST方法提交的表單）
multipart/form-data（POST提交時伴隨文件上傳的表單）
4.分析文件頭內容來檢查文件類型
與方法2不同，還有一種檢查類型的方式是使用對於文件內容的驗證機制，這種方法利用的是每一個特定類型的文件都會有不太一樣的開頭或者標志位。可以通過比如php的exif_imagetype()函數，一個通過這種方法來過濾的示例代碼如下：
if (! exif_imagetype($_FILES['uploadedfile']['tmp_name'])) {
echo "File is not an image";
return;
}
也可以自己編寫函數來進行識別，圖片文件通常有稱作幻數的頭位元組，我們來看一下幾種圖片文件的幻數：
（注意！下面是二進制而不是文本格式的數據）
JPG
FF D8 FF E0 00 10 4A 46 49 46
GIF
47 49 46 38 39 61
(相當於文本的GIF89a)
PNG
89 50 4E 47
通過檢查頭幾位位元組，可以分辨是否是圖片文件
如果是其他類型的二進制文件，也有響應的頭位元組，如下表
反制
給上傳腳本加上相應的幻數頭位元組就可以，php引擎會將
（一般不限制圖片文件格式的時候使用GIF的頭比較方便，因為全都是文本可列印字元。）
GIF89a
do_something();
?>
如果是其他類型的二進制文件，也有響應的頭位元組，如下表
格式
文件頭
TIFF (tif)
49492A00
Windows Bitmap (bmp)
424D
CAD (dwg)
41433130
Adobe Photoshop (psd)
38425053
Rich Text Format (rtf)
7B5C727466
MS Word/Excel (xls.or.doc)
D0CF11E0
MS Access (mdb)
5374616E64617264204A
ZIP Archive (zip)，
504B0304
RAR Archive (rar)，
7221
Wave (wav)，
57415645
AVI (avi)，
41564920
Real Media (rm)，
2E524D46
MPEG (mpg)，
000001BA
MPEG (mpg)，
000001B3
Quicktime (mov)，
6D6F6F76
Adobe Acrobat (pdf)，
255044462D312E
Windows Media (asf)，
3026B2758E66CF11
MIDI (mid)，
4D546864
5.限制Web Server對於特定類型文件的行為
導致文件上傳漏洞的根本原因在於服務把用戶上傳的本應是數據的內容當作了代碼，一般來說，用戶上傳的內容都會被存儲到特定的一個文件夾下，比如我們很多人習慣於放在 ./upload/ 下面要防止數據被當作代碼執行，我們可以限制web server對於特定文件夾的行為。
大多數服務端軟體都可以支持用戶對於特定類型文件的行為的自定義，以Apache為例：
在默認情況下，對與 .php文件Apache會當作代碼來執行，對於 html,css,js文件，則會直接由HTTP Response交給客戶端程序對於一些資源文件，比如txt，doc，rar等等，則也會以文件下載的方式傳送的客戶端。我們希望用戶上傳的東西僅僅當作資源和數據而不能當作代碼
因此可以使用伺服器程序的介面來進行限制
以Apache為例,我們可以利用 .htaccess 文件機制來對web server行為進行限制
在這里插一句，如果不是專門的文件下載目錄，請務必關掉文件夾瀏覽的許可權，以防止嗅探和可能的越權，也是使用.htaccess文件，在其中加上一句
Options All -Indexes
即可。
禁止腳本執行有多種方式可以實現，而且分別有不同的效果，我們分別來看一下
1.指定特定擴展名的文件的處理方式,原理是指定Response的Content-Type可以加上如下幾行
AddType text/plain .pl .py .php
這種情況下，以上幾種腳本文件會被當作純文本來顯示出來，你也可以換成其他的Content-Type
2.如果要完全禁止特定擴展名的文件被訪問，用下面的幾行
Options -ExecCGI
AddHandler cgi-script .php .pl .py .jsp .asp .htm .shtml .sh .cgi識別
在這種情況下，以上幾種類型的文件被訪問的時候，會返回403 Forbidden的錯誤
3.也可以強制web伺服器對於特定文件類型的處理，與第一條不同的是， 下面的方法直接強行讓apache將文件識別為你指定的類型，而第一種是讓瀏覽器
ForceType text/plain
看代碼就可以很明白的知道，符合上面正則的全部被認為是純文本，也可以繼續往裡面加入其他類型。
4.只允許訪問特定類型的文件
order deny,allow
deny from all
在一個上傳圖片的文件夾下面，就可以加上這段代碼，使得該文件夾裡面只有圖片擴展名的文件才可以被訪問，其他類型都是拒絕訪問。
這又是一個白名單的處理方案
永遠記得，白名單是最有保障的安全措施

可以通過 move_uploaded_file 函數把自己寫的.htaccess 文件上傳，覆蓋掉伺服器上的文件，來定義文件類型和執行許可權如果做到了這一點，將獲得相當大的許可權。

I. 文件上傳漏洞原理是什麼

文件上傳原理

在文件上傳的功能處，若服務端腳本語言未對上傳的文件進行嚴格驗證和過濾，導致惡意用戶上傳惡意的腳本文件時，就有可能獲取執行服務端命令的能力，這就是文件上傳漏洞。

文件上傳漏洞高危觸發點

相冊、頭像上傳

視頻、照片分享

附件上傳（論壇發帖、郵箱）

文件管理器

存在文件上傳功能的地方都有可能存在文件上傳漏洞，比如相冊、頭像上傳，視頻、照片分享。論壇發帖和郵箱等可以上傳附件的地方也是上傳漏洞的高危地帶。另外像文件管理器這樣的功能也有可能被攻擊者所利用值得注意的是，如果移動端也存在類似的操作的話，那麼相同的原理，也存在文件上傳漏洞的風險。

為了防禦文件上傳漏洞的產生，需要在服務端做嚴格的防護，因為瀏覽器、客戶端傳回的數據並不可信任。首先是第一道防線，文件類型檢測，上傳的文件需要經過嚴格的文件類型檢測防止上傳的文件是惡意腳本。

上傳之後的文件要進行重命名。

如果上傳的文件是圖片類型，可以選擇使用重繪圖的方式對圖片進行保存，但是這種方式會對服務端性能稍有影響

最後，文件上傳的目錄不可賦予可執行許可權，可以使用BOS這樣的雲存儲服務，當然最方便的還是使用BOS這樣現成的雲存儲服務

J. 哪些伺服器曾被發現文件解析漏洞

伺服器解析漏洞總結
1、Apache1.x 2.x解析漏洞
Apache伺服器解析文件時，從後向前遍歷後綴名，直到遇到第一個可以被識別的後綴名，則按該種後綴方式進行文件解析。
這樣造成一個危害是：如果應用限制了php等敏感後綴，我們可以通過上傳x.php.jpg這種未被攔截的後綴的木馬上傳，訪問時，Apache會因為無法識別jgp，而向前尋找，找到php，按照php文件進行正常解析。木馬被執行。
2、IIS6.0解析漏洞
（1）如果目錄名包含.asp .asa .cer這種字樣，則該目錄下所有文件都被當做asp來進行解析
（2）如果文件名中包含.asp;、.asa;、.cer;這種字樣，也會被優先按照asp來進行解析
3、Nginx
（1）0.8.37以下的版本，可以上傳一個不被過濾後綴名的木馬，如：shell.jpg，可以通過請求shell.jpg.php來進行正常解析
（2）0.8.41 – 1.5.6間的版本，可以上傳一個不被過濾後綴名的木馬，如：shell.jpg，可以通過請求shell.jpg%20.php來進行解析
4、PHP CGI文件解析漏洞
（1）Nginx小於0.8.3以下的版本，且當默認php配置文件cgi.fix_pathinfo=1時，可以上傳一個不被過濾後綴名的木馬，如：shell.jpg，通過請求shell.phhp/shell.jpg，可以使得shell.jpg被當做php來解析
（2）IIS7.0/7.5之間的版本，如果存在多個Content-Disposition，則IIS會取第一個作為接受參數，同時，如果waf只取第二個進行檢測的話，則有可能被繞過過濾。