当前位置:搜启云 > 网站建设 > [如何检测网站漏洞]该如何查找网站存在的文件上传漏洞?

[如何检测网站漏洞]该如何查找网站存在的文件上传漏洞?

发表日期:2019-11-01

  在日常对客户网站进行浸透测验服务的时分,咱们SINE安全经常遇到客户网站,app存在文件上传功用,程序员在规划开发代码的过程中都会对上传的文件类型,格局,后缀名做安全效验与过滤判别,SINE安全工程师在对文件上传缝隙进行测验的时分,往往发现的网站缝隙都是因为服务器的环境缝隙导致的,像IIS,apache,nginx环境,都存在着能够导致恣意文件上传的缝隙。
 
  关于导致文件上传缝隙的发生以及测验,咱们来具体的剖析一下:
 
  IIS解析缝隙导致的恣意文件上传
 
  首要比较常见的是客户网站运用的IIS环境来建立的,一般是IIS+PHP+Mysql数据库组合,或许IIS+aspx+sql2005数据库,IIS存在解析缝隙,当创立文件名为.php的时分,在这个目录下的一切文件,或许代码,都会以PHP脚本的权限去运转,比如其中一个客户网站,能够将上传的目录改为1.php,那么咱们上传的jpg文件到这个目录下,拜访的网址是域名/1.php/1.jpg从浏览器里拜访这个地址,就会是php脚本的权限运转。当上传网站木马webshell过去,就会直接拿到网站的管理权限。存在IIS解析缝隙的版别是5.0-6.0版别。
  nginx解析缝隙导致的恣意文件上传
 
  nginx是静态拜访,以及大并发,能够承载多人拜访,现在很多网站都在运用的一种服务器环境,简略来讲就是HTTP拜访的代理,高速安稳,深受很多网站运营者的喜爱,在nginx最低版别中存在解析缝隙,能够导致运转PHP脚本文件,缝隙发生的原因是因为php.ini配置文件与nginx配合解析的时分,将默许的后缀名认为是最重的文件名,导致能够修改后缀名来履行PHP文件。咱们SINE安全在浸透测验中发现客户网站敞开nginx以及fast-cgi形式后,就会很容易的上传网站木马到网站目录中,咱们将jpg图片文件插入一句话木马代码,并上传到网站的图片目录中。
 
  咱们在拜访这个图片的时分,直接在后面输入/1.php,就会导致图片文件以php脚本权限来运转了。如下图所示:
 
  apache解析缝隙导致的恣意文件上传
 
  apache也是现在运用较多的一个服务器环境,尤其php网站运用的较多,因为安稳,快速,易于PHP拜访,能够将第三方的一些开发言语编译到网站中,apache也是存在缝隙的,尤其在apache1.0-2.0版别中,后缀名判别这儿没有做具体的规定,导致能够绕过apache安全机制,上传恶意的文件名。默许是答应多个后缀名进行解析的,假如命名的后缀名不被apache认可解析,就会向前寻找后缀名,直到后缀名是apache认可的,就会直接解析成功。该文件上传缝隙运用的条件是需求敞开module形式,不是这个形式的上传不了。咱们SINE安全在对客户网站进行浸透测验的时分,首要会改后缀名为apache不认可的,然后POST上传过去,直接运转php脚本。如下图所示:
 
  总的来说导致恣意文件上传缝隙的发生也存在于服务器环境中,那么在浸透测验过程中该怎么的修复缝隙呢?将IIS版别升级到7.0以上,Nginx版别也升级到最新版别,包含apache版别升级到2.4以上,在上传功用代码里对其进行文件格局的判别,限制目录的创立,可杜绝以上的问题的发生。

相关网站设计案例

相关新闻

[首页网]如何才能将营销型网站优化到搜索引擎首页

跟着互联网的普及,我们查找信息时,都习气通过查找引擎查找,只要输入所需...

日期:2019-12-23

[互联网的推广]中小企业的网站应该如何做好网络营销推广?

只需搜索引擎不倒,那么网站还有个人博客也会一贯存在,保护一个网站也是许...

日期:2019-12-23

[关键词优化排名软件]网站优化如何才能提高关键词排名

跟着互联网的开展,各行各业对网站的注重度也越来越高,网站制作可直接交予...

日期:2019-12-23

[网站优化方案]具体seo优化方案是什么样子的呢

所谓的搜索引擎优化优化,中文意义是指搜索引擎优化,是网络营销中最重要的...

日期:2019-12-23

[网站自然优化]网站自然排名优化怎么下手呢?看过来

优化服务首要针对新网站或要害词转化率低的网站进行,优化常常要一年半载才...

日期:2019-12-23

[网络的好处]网络优化对企业有何好处优势?

近年来,由于互联网的发展,越来越多的企业看到商机,与一些企业一同开始培...

日期:2019-12-23

网络营销方案]网络营销策划方案

网络营销策划案是为了到达营销方针而策划的综合性的、可操作的网络营销策略...

日期:2019-12-23

[搜索引擎优化]seo优化方法主要有哪些

很多搜索引擎优化新手其实都想知道搜索引擎优化优化的办法,可是这个问题其...

日期:2019-12-23

[网站搜索优化]网站优化快速上首页的7种技巧方法,三分钟读懂快

网站快速上主页一直以来都是SEOer所担忧的问题,怎样优化网站才干快速上主...

日期:2019-12-23

[百度seo]如何使用百度搜索资源平台帮助我们做好百度的SEO优化

百度查找资源渠道也便是以前的百度站长东西,其能够协助站长和SEOer更好的...

日期:2019-12-23

收缩
  • 电话咨询

  • 18520102000