049-WEB攻防-文件上传&存储安全&OSS对象&分站&分析安全&解码还原&目次实行 ...

049-WEB攻防-文件上传&存储安全&OSS对象&分站&分析安全&解码还原&目次实行

#知识点：

   1、文件上传-安全分析方案-目次权限&解码还原
2、文件上传-安全存储方案-分站存储&OSS对象
  演示案例：

   ➢文件-分析方案-实行权限&解码还原
➢文件-存储方案-分站存储&OSS对象
➢实例-分析存储-传输&分站&OSS存储
  #文件-分析方案-实行权限&解码还原

• 将源码复制到对应目次下，并创建image.wusuowei.com文件夹，存储源码`G:\develop\safety\phpstudy_pro\WWW\image.wusuowei.com
  
• 将小皮的网站部署文件夹，选择创建好的存放文件夹目次访问对应ip和端口即可
  

1、实行权限

• 文件上传后存储目次不给实行权限
  
• 原理：开启克制目次实行，将服务器的文件上传后存储目次，取消读取和实行的权限
  
  
  
  
  
  
  • 由于文件上传功能并未做过滤，直接上传包含后门的木马文件shell.php上传成功即可发现，phpinfo被实行了，该文件被分析为php脚本
    
  • 当在小皮网址设置的==选择安全设置→开启克制目次实行→将克制实行的目次设置为上传目次（/1/upload）==
    
  • 开启后，再次访问上传的木马文件，发现报错403，至此文件上传毛病不能被使用
    
    
    
    
  
  

2、解码还原

• 数据做存储，分析固定（文件后缀名无关）
  文件上传后使用编码传输解码还原
  
  1. 1. 当服务器把上传的文件，利用base64编码编码为数据存储，也就是说从根本上解决了文件上传漏洞的问题==**，以数据存储就没有其他类型的文件解析即使上传后门文件，最后也是被当成图片去解析，由固定的协议去解析数据（data:image/png;base64，base数据）**==

  复制代码
  1. <?php
  2. // 处理文件上传
  3. if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['file'])) {
  4.     // 获取上传的文件信息
  5.     $file = $_FILES['file'];
  7.     // 获取文件名和临时文件路径
  8.     $filename = $file['name'];
  9.     $tmpFilePath = $file['tmp_name'];
  11.     **// 将文件内容转换为Base64编码
  12.     $base64Data = base64_encode(file_get_contents($tmpFilePath));**
  14.     // 输出Base64编码的文件内容
  15.     echo $base64Data;
  17.     // 如果是图片文件，可以将其在页面上显示
  18.     echo '<img src="data:image/jpeg;base64,' . $base64Data . '" alt="上传的图片">';
  19. }
  20. ?>

  复制代码

#文件-存储方案-分站存储&OSS对象

1、分站存储

upload.xiaodi8.com 上传
images.xiaodi8.com 存储==（另一台服务器，目次权限锁死，只提供存储服务，不提供分析服务，纵然上传木马文件，连接后门也无用）==
存储图片在另一台服务，有关于上传文件还使用base64编译为数据，进一步放置了文件上传的隐患

2、OSS对象

Access控制-OSS对象存储-Bucket对象
上传的文件只能看成一个网盘来看，不提供分析服务，只提供下载

#怎样判断

• 假如目次下已经上传进去木马文件，访问其上传路径发现报错403克制访问，可能是文件上传后存储目次不给实行权限
  
  
  
  
• 在上传文件的时候，抓取数据包，假如发现是==由固定的协议（data:image/png;base64，base数据）则就是解码还原==
  
  
  
  
• 上传图片后，查看图片URL地址中的域名是否和目标上传地址一致，假如不一致则是分站存储
  
  
  
  
• 假如访问上传的文件路径，发现访问及下载，多半是OSS对象
  
  
  
  

#安全绕过

以上方案除目次设置权限如能==换目次分析绕过外，==
其他均无解

• 控制上传文件的的存储目次，绕开开启限定实行的目次即可（鸡肋）
  

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。