无限制文件上传漏洞，有解决方案吗？

Question

我有一个模块，用户可以上传图片。所以我运行了一些测试，通过篡改数据，我可以将它从.png更改为.php，它将成功地上传到我的服务器上，但是如果我到了那个位置，它看起来就“找不到”了。那么，你认为攻击者还能做些什么呢？

Answer 1

在某些情况下，文件可以执行，这取决于许多因素、代码、服务器设置等。

首先你应该

• 对上传的数据进行MIME检查
• 将扩展限制为普通图片扩展

Answer 2

，你认为攻击者还能用它做些什么呢？

如果你：

1. 尝试将.png更改为.php，您将得到“未找到”，这意味着在该特定链接上没有.php导出的文件(这并不意味着您不能)。
2. 尝试查看是否可以上传一个.php扩展名文件，而不是一个具有.png扩展名的文件，您应该尝试其他方法(因为您不能仅仅通过向服务器请求一个不同的扩展名来更改文件)。

如何检查上传表单：

阅读此OWASP文档：https://www.owasp.org/index.php/Unrestricted_文件_上传