上傳安全威脅我允許用戶上傳文件到我的服務器。我面臨哪些可能的安全威脅，如何消除這些威脅？假設我允許用戶從他們的系統或網絡上傳圖片到我的服務器?，F在，為了檢查這些圖像的大小，我必須將它們存儲在/tmp文件夾。這不冒險嗎？我怎樣才能將風險降到最低？另外，假設我用的是wget從用戶以我的表單上傳的鏈接下載圖片。首先，我必須將這些文件保存在我的服務器中，以檢查它們是否實際上是圖像。另外，如果一個惡作劇者給我一個URL，而我最終下載了一個滿是惡意軟件的網站呢？
3 回答
阿晨1998
TA貢獻2037條經驗 獲得超6個贊
當一個文件上傳到服務器時，PHP將變量$_files[‘upupadedfile’][‘type’]設置為客戶機正在使用的Web瀏覽器提供的MIME類型。但是，文件上載表單驗證不能僅依賴于此值。惡意用戶可以使用腳本或其他允許發送HTTPPOST請求的自動應用程序輕松上傳文件，這允許他發送假MIME類型。 幾乎不可能編譯包含攻擊者可以使用的所有可能擴展的列表。例如，如果代碼在托管環境中運行，通常這樣的環境允許大量腳本語言，如Perl、Python、Ruby等，并且列表可以是無窮無盡的。 惡意用戶可以通過上傳名為“.htaccess”的文件輕松繞過這種檢查，該文件包含如下代碼行： AddType application/x-httpd-php .jpg
添加回答
舉報
0/150
提交
取消