蝙蝠岛资源网

你不知道的文件上传漏洞php代码分析
网络编程 2025/6/8 佚名
2 0
蝙蝠岛资源网 Design By www.hbtsch.com

漏洞描述

开发中文件上传功能很常见，作为开发者，在完成功能的基础上我们一般也要做好安全防护。
文件处理一般包含两项功能，用户上传和展示文件，如上传头像。

文件上传攻击示例

upload.php

<"File is valid, and was successfully uploaded.\n";
} 
else {
 echo "File uploading failed.\n";
}
"htmlcode">



<form name="upload" action="upload1.php" method="POST" ENCTYPE="multipart/formdata">
Select the file to upload: <input type="file" name="userfile">
<input type="submit" name="upload" value="upload">
</form>






上述代码未经过任何验证，恶意用户可以上传php文件，代码如下


<"htmlcode">



<"image/gif") {//获取Http请求头信息中ContentType
 echo "Sorry, we only allow uploading GIF images";
 exit;
}
$uploaddir = 'uploads/';
$uploadfile = $uploaddir.basename($_FILES['userfile']['name']);
if (move_uploaded_file($_FILES['userfile']['tmp_name'], $uploadfile)){
 echo "File is valid, and was successfully uploaded.\n";
} else {
 echo "File uploading failed.\n";
}
"userfile"; filename="shell.php"

Content-Type: image/gif


图片类型验证




该方法通过读取文件头中文件类型信息，获取文件类型


备注：如JPEG/JPG文件头标识为FFD8


你不知道的文件上传漏洞php代码分析


upload.php





<"Sorry, we only accept GIF and JPEG images\n";
 exit;
}
$uploaddir = 'uploads/';
$uploadfile = $uploaddir . basename($_FILES['userfile']['name']);
if (move_uploaded_file($_FILES['userfile']['tmp_name'], $uploadfile)){
 echo "File is valid, and was successfully uploaded.\n";
} else {
 echo "File uploading failed.\n";
}
"text-align: center">你不知道的文件上传漏洞php代码分析


文件扩展名验证


 通过黑名单或白名单对文件扩展名进行过滤，如下代码


upload.php





<".php", ".phtml", ".php3", ".php4");
foreach ($blacklist as $item) {
if(preg_match("/$item\$/i", $_FILES['userfile']['name'])) {
 echo "We do not allow uploading PHP files\n";
 exit;
}
}
$uploaddir = 'uploads/';
$uploadfile = $uploaddir . basename($_FILES['userfile']['name']);
if (move_uploaded_file($_FILES['userfile']['tmp_name'], $uploadfile)){
 echo "File is valid, and was successfully uploaded.\n";
} else {
 echo "File uploading failed.\n";
}
"htmlcode">



<"File is valid, and was successfully uploaded.\n";
} else {
　　echo "File uploading failed.\n";
}
"htmlcode">



<"htmlcode">



<"upload_");
if (move_uploaded_file($_FILES['userfile']['tmp_name'], $uploadfile)) {
　　$db =& DB::connect("mysql://username:password@localhost/database");
　　if(PEAR::isError($db)) {
　　　　unlink($uploadfile);
　　　　die "Error connecting to the database";
　　}
　　$res = $db->query("INSERT INTO uploads SET name=",
　　　　　　array(basename($uploadfile,basename($_FILES['userfile']['name']),$_FILES['userfile']['type']));
　　if(PEAR::isError($res)) {
　　　　unlink($uploadfile);
　　　　die "Error saving data to the database. The file was not uploaded";
　　}
　　$id = $db->getOne('SELECT LAST_INSERT_ID() FROM uploads');
　　echo "File is valid, and was successfully uploaded. You can view it <a href=\"view.php">here</a>\n";
} else {
　　echo "File uploading failed.\n";
}
"htmlcode">



<"File id must be numeric");
}
$db =& DB::connect("mysql://root@localhost/db");
if(PEAR::isError($db)) {
　　die("Error connecting to the database");
}
$file = $db->getRow('SELECT name, mime_type FROM uploads WHERE id="Error fetching data from the database");
}
if(is_null($file) || count($file)==0) {
　　die("File not found");
}
header("Content-Type: " . $file['mime_type']);
readfile($uploaddir.$file['name']);
?>





上述代码文件名随机更改，文件被存储在web root之外，用户通过id在数据库中查询文件名，读取文件，可以有效的阻止上述漏洞发生


总结


通过以上示例分析，可总结一下几点


1.文件名修改，不使用用户上传的文件名


2.用户不可以通过上传路径直接访问文件


3.文件查看采用数据库获取文件名，从而在相应文件服务器读取文件


4.文件上传限制文件大小，个人上传数量等


 以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持。


                                

                                

                                     

                                

                                    标签：
                                        
php文件上传,php文件上传代码,php文件上传漏洞

                                     

                                
蝙蝠岛资源网 Design By www.hbtsch.com

                            

                        

                        

                            

                                广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）

                                免责声明：本站文章均来自网站采集或用户投稿，网站不提供任何软件下载或自行开发的软件！
                                如有用户或公司发现本站内容信息存在侵权行为，请邮件告知！ 858582#qq.com
                            

                        

                        

                            
                            
                        

                        
                        
蝙蝠岛资源网 Design By www.hbtsch.com

                        

                            

                                
                                
                                    评论“你不知道的文件上传漏洞php代码分析”
                                
                            

                            

                                

                                    
                                    

                                    

                                        
暂无你不知道的文件上传漏洞php代码分析的评论...

                                    

                                

                            

                        

                        
                    

                    

                        

                            

                                

                                    

                                        

                                    

                                    

                                        

                                            
                                        

                                    

                                

                                

                                    
www.hbtsch.com
                                            
                                                蝙蝠岛资源网 
                                    

                                    

                                        

                                            
                                        

                                        

                                            
                                        

                                        

                                            
                                        

                                        

                                            
                                        

                                    

                                    

                                    

                                        

                                            139,976影音资源
                                        

                                        

                                            144,792福利资源
                                        

                                        

                                            21,817软件资源
                                        

                                        

                                            631,128技术资源

《魔兽世界》大逃杀！60人新游玩模式《强袭风暴》3月21日上线

暴雪近日发布了《魔兽世界》10.2.6 更新内容，新游玩模式《强袭风暴》即将于3月21 日在亚服上线，届时玩家将前往阿拉希高地展开一场 60 人大逃杀对战。

艾泽拉斯的冒险者已经征服了艾泽拉斯的大地及遥远的彼岸。他们在对抗世界上最致命的敌人时展现出过人的手腕，并且成功阻止终结宇宙等级的威胁。当他们在为即将于《魔兽世界》资料片《地心之战》中来袭的萨拉塔斯势力做战斗准备时，他们还需要在熟悉的阿拉希高地面对一个全新的敌人──那就是彼此。在《巨龙崛起》10.2.6 更新的《强袭风暴》中，玩家将会进入一个全新的海盗主题大逃杀式限时活动，其中包含极高的风险和史诗级的奖励。

《强袭风暴》不是普通的战场，作为一个独立于主游戏之外的活动，玩家可以用大逃杀的风格来体验《魔兽世界》，不分职业、不分装备（除了你在赛局中捡到的），光是技巧和战略的强弱之分就能决定出谁才是能坚持到最后的赢家。本次活动将会开放单人和双人模式，玩家在加入海盗主题的预赛大厅区域前，可以从强袭风暴角色画面新增好友。游玩游戏将可以累计名望轨迹，《巨龙崛起》和《魔兽世界：巫妖王之怒 经典版》的玩家都可以获得奖励。

更新日志

友情链接

杰晶网络 DDR爱好者之家 桃源资源网 杰网资源 MicroAirGrinder 南强小屋 幽灵资源网 相思资源网 明霞山资源网 内蒙古资源网 黑松山资源网 大旗谷资源网 常春岛资源网 岱庙资源网 兴国资源网 HerbalExtract 蝙蝠岛资源网 白云城资源网 天枫庄资源网 无争山庄资源网 HerbalExtracts FoodColouring NaturalHerbal HerbalOnline NaturalColouring 更多链接
蝙蝠岛资源网 Design By www.hbtsch.com