常见36种WEB渗透测试漏洞描述及解决方法-文件上传

漏洞描述：文件上传漏洞通常由于网页代码中的文件上传路径变量过滤不严或webserver相关解析漏洞未修复而造成的，如果文件上传功能实现代码没有严格限制用户上传的文件后缀以及文件类型，攻击者可通过 Web 访问的目录上传任意文件，包括网站后门文件，进而远程控制网站服务器。

解决方法:

在前后端对上传文件类型限制，如后端的扩展名检测，重命名文件，MIME类型检测以及限制上传文件的大小，或将上传文件放在安全路径下；严格限制和校验上传的文件，禁止上传恶意代码的文件。同时限制相关目录的执行权限，防范webshell攻击；对上传文件格式进行严格校验及安全扫描，防止上传恶意脚本文件；设置权限限制，禁止上传目录的执行权限；严格限制可上传的文件类型；严格限制上传的文件路径；文件扩展名服务端白名单校验；文件内容服务端校验；上传文件重命名，并隐藏上传文件路径。

序列化和反序列化本身并不存在问题。但当输入的反序列化的数据可被用户控制，那么攻击者即可通过构造恶意输入，让反序列化产生非预期的对象，在此过程中执行构造的任意代码。

修复：

1、建议不要用JDK中的XmlDeocder类，寻求其它更安全的xml解析工具类，考虑是否删除WLS-WebServices组件。

2、官方修复：补丁限定了object，new,method,void，array等字段，限定了不能生成java 实例。

打开腾讯电脑管家——工具箱——修复漏洞，进行漏洞扫描和修复。

建议设置开启自动修复漏洞功能，开启后，电脑管家可以在发现高危漏洞（仅包括高危漏洞，不包括其它漏洞）时，第一时间自动进行修复，无需用户参与，最大程度保证用户电脑安全。尤其适合老人、小孩或计算机初级水平用户使用。开启方式如下：进入电脑管家“修复漏洞”模块—“设置”，点击开启自动修复漏洞即可。

---