其實(shí),我們抓住幾個(gè)地方即可,我們先來(lái)分析下,既然用戶要上存文件,而且文件將是多種多樣格式;可能有的文 " /> yjizz视频国产网站在线播放,男人把女人靠到爽痛视频,中文字幕免费在线播放

一区二区久久-一区二区三区www-一区二区三区久久-一区二区三区久久精品-麻豆国产一区二区在线观看-麻豆国产视频

淺談web上存漏洞及原理分析、防范方法(安全文件上存方法)

這類漏洞,主要是可以讀取用戶傳入路徑名稱,采用不正確的過(guò)濾方法,導(dǎo)致惡意用戶,將文件上存到非預(yù)期的地方,帶來(lái)安全隱患。

其實(shí),我們抓住幾個(gè)地方即可,我們先來(lái)分析下,既然用戶要上存文件,而且文件將是多種多樣格式;可能有的文件內(nèi)容與用戶傳入格式不一致,有的文件內(nèi)容還夾雜木馬代碼。 那么,我們讓用戶上存文件,跟站點(diǎn)文件做一個(gè)分別授權(quán),做隔離。

讓保存上存目錄獨(dú)立開來(lái),目錄權(quán)限只讀不能執(zhí)行
這一步從系統(tǒng)設(shè)計(jì)加以授權(quán),無(wú)論你上次什么文件,都不可能執(zhí)行到。就算我不做任何檢測(cè),你的文件都上存到這里了,也不會(huì)對(duì)我系統(tǒng)構(gòu)成安全。(如果有用戶上存一些反動(dòng)言語(yǔ)的圖片,那另外需要處理的)

不直接使用服務(wù)器傳入值,所有都要進(jìn)行檢測(cè)
這類跟我們做一切輸入都是有害原則一樣,對(duì)于客戶端傳入的:type, name ,都要進(jìn)行判斷,不直接使用。對(duì)于要生成到某個(gè)目錄,某個(gè)文件名。
文件名最好方法是:自己寫死目錄(不要讀取傳入目錄),文件名,最好自己隨機(jī)生成,不讀取用戶文件名。文件擴(kuò)展名,可以取最右邊”.”后面字符。
以上2個(gè)方法,剛好從2個(gè)方面對(duì)上存做了整體約束。
方法2 : 保存上存文件名,按照自己指定目錄寫入,并且文件名自己生成的。
方法1:只要保證文件寫對(duì)了位置,然后從配置上,對(duì)寫入目錄進(jìn)行權(quán)限控制,這個(gè)是治本。可以做到,你無(wú)論上存什么文件,都讓你沒有權(quán)限跳出去可以運(yùn)行。

以上2個(gè)方法,一起使用,可以保證文件正確存到地方,然后,權(quán)限可以控制。 這里順便說(shuō)明下, 判斷用戶上存文件是否滿足要求類型,就直接檢查文件擴(kuò)展名,只要滿足擴(kuò)展名就讓上存。 反正,做了執(zhí)行權(quán)限限制,你不按要求上存內(nèi)容,也無(wú)妨。 反正,不能執(zhí)行,也不會(huì)有多大危害性的。
正確步驟:
1.讀取文件名,驗(yàn)證擴(kuò)展名是不是在范圍內(nèi)
2.自己定義生成的文件名,目錄,擴(kuò)展名可以來(lái)自文件名擴(kuò)展名。 其它值,都自己配置,不讀取上存中內(nèi)容
3.將文件 移到新目錄(這個(gè)目錄權(quán)限設(shè)置只讀)

好了,以上是一般操作方法,希望對(duì)大家有幫助,也歡迎朋友們交流!也希望提供更好的方法!接下來(lái),我會(huì)在web 開發(fā)中,常見一些方法功能安全設(shè)計(jì)方面繼續(xù)寫一些我的心得,看法!

php技術(shù)淺談web上存漏洞及原理分析、防范方法(安全文件上存方法),轉(zhuǎn)載需保留來(lái)源!

鄭重聲明:本文版權(quán)歸原作者所有,轉(zhuǎn)載文章僅為傳播更多信息之目的,如作者信息標(biāo)記有誤,請(qǐng)第一時(shí)間聯(lián)系我們修改或刪除,多謝。

主站蜘蛛池模板: 日本人妖tubexxxx | 美女网站色在线观看 | 日本一区二区三区视频在线 | 九九国产在线视频 | 精品综合久久88色鬼首页 | 国产精品色午夜视频免费看 | 久久66久这里精品99 | 久久国产精品99久久久久久牛牛 | 亚洲国产一区在线二区三区 | 久久综合九色综合97婷婷女人 | 亚洲六月丁香六月婷婷色伊人 | 骚妇毛片 | 国产精品中文字幕在线观看 | 亚洲天堂视频一区 | 国产成人综合在线视频 | 日本成人免费网站 | 六月丁香婷婷激情 | 男女一区二区三区免费 | 日本a级精品一区二区三区 日本a在线看 | 亚洲一二三区久久五月天婷婷 | 成人免费一区二区三区 | 91短视频在线 | 欧美视频在线观看xxxx | 看全色黄大色黄大片女图片 | 日本在线www | 成人福利免费在线观看 | 涩涩涩视频在线观看免费 | 久久这里有精品视频任我鲁 | 国产精品视频公开费视频 | 日韩视频在线一区 | 最新亚洲情黄在线网站 | 九一国产精品视频 | 深爱综合网| 国内精品91久久久久 | 99精品国产福利在线观看 | 大色皇大久久大久久 | 国内自拍视频在线看免费观看 | 91麻豆精品福利在线观看 | 亚洲国产成人久久综合碰 | 91精品视频在线看 | 成年人三级网站 |