浅谈web上存漏洞及原理分析、防范方法（文件名检测漏洞）
更新时间：2013年06月29日 12:13:32 作者：
本篇文章是对web上存漏洞及原理分析、防范方法（文件名检测漏洞）进行了详细的分析介绍，需要的朋友参考下
我们通过前篇：<浅谈web上存漏洞及原理分析、防范方法（安全文件上存方法）>，已经知道后端获取服务器变量，很多来自客户端传入的。跟普通的get,post没有什么不同。下面我们看看，常见出现漏洞代码。
1、检测文件类型，并且用用户上存文件名保存
if(isset($_FILES['img']))
{
$file = save_file($_FILES['img']);
if($file===false) exit('上存失败！');
echo "上存成功！",$file;
}
function check_file($img)
{
///读取文件
if($img['error']>0) return false;
$tmpfile = $img['tmp_name'];
$filename = $img['name'];
///读取文件扩展名
$len=strrpos($filename,".");
if($len===false) return false;
//得到扩展名
$ext = strtolower(substr($filename,$len+1));
if(!in_array($ext,array('jpg','jpeg','png'))) return false;
return true;
}
function save_file($img)
{
if(!check_file($img)) return false;
//格式检测ok，准备移动数据
$filename = $img['name'];
$newfile = "upload/" .$filename;
if(!move_uploaded_file($img["tmp_name"],$newfile)) return false;
return $newfile;
}
?>
以上代码，对输入类型也做了判断，看了没有问题。但是问题，确恰恰出现在对获取的用户名变量检测上面。直接获取传入用户名，然后存为文件。 有朋友会说：这些文件名都是我电脑里面存在的，文件名格式都受限于操作系统对文件名定义。 但是，需要注意是，对于$_FILES里面获取变量，是直接来自http request请求。它跟普通获取其它get,post变量一样。 因此，别有用心的人，往往会自己模拟浏览器，给服务器发送一个特殊文件名。然后，让存文件时候，能够正常保存为自己格式。
前些年，”\0” 在字符串中，保存为文件，会自动截断后面内容。 如：$filename 构造为：”a.php\0.jpg” ，我们想想，将会变成怎么样？
$newfile = “upload/a.php\0.jpg” 因为，对扩展名验证，最右边”.”后面字符是jpg ，是允许图片格式。 但是，我们一以该文件名，保存。 发现磁盘会在upload目录下面生成a.php ，\0后面所有字符，被自动截断。
该漏洞，风靡一时。当时几乎大多数上存网站都有漏洞。一时，很多平台关闭了上存。其实，根本原因就在此。我们拿到文件名，自己作为最终生成文件名保存了。 好的方法，是自己随机生成文件名+读取扩展名 。这样可以组织输入特殊字符，在进行文件保存时候，被抛弃或截断了。
php4时代这个漏洞可以利用，到php5时代，生成的变量文件名值中，会自动过滤掉”\0” ，这样无论用户构造怎么样的特殊”\0”用户名，都会被截断。 但是 ，目前这类漏洞，在asp,jsp 等站点。还经常有出现。老版本的php站点也会经常出现。
好了，今天先到这里，后面还有2种其它常见方法，后面给出！欢迎交流！
1、检测文件类型，并且用用户上存文件名保存
复制代码 代码如下:
if(isset($_FILES['img']))
{
$file = save_file($_FILES['img']);
if($file===false) exit('上存失败！');
echo "上存成功！",$file;
}
function check_file($img)
{
///读取文件
if($img['error']>0) return false;
$tmpfile = $img['tmp_name'];
$filename = $img['name'];
///读取文件扩展名
$len=strrpos($filename,".");
if($len===false) return false;
//得到扩展名
$ext = strtolower(substr($filename,$len+1));
if(!in_array($ext,array('jpg','jpeg','png'))) return false;
return true;
}
function save_file($img)
{
if(!check_file($img)) return false;
//格式检测ok，准备移动数据
$filename = $img['name'];
$newfile = "upload/" .$filename;
if(!move_uploaded_file($img["tmp_name"],$newfile)) return false;
return $newfile;
}
?>
以上代码，对输入类型也做了判断，看了没有问题。但是问题，确恰恰出现在对获取的用户名变量检测上面。直接获取传入用户名，然后存为文件。 有朋友会说：这些文件名都是我电脑里面存在的，文件名格式都受限于操作系统对文件名定义。 但是，需要注意是，对于$_FILES里面获取变量，是直接来自http request请求。它跟普通获取其它get,post变量一样。 因此，别有用心的人，往往会自己模拟浏览器，给服务器发送一个特殊文件名。然后，让存文件时候，能够正常保存为自己格式。
前些年，”\0” 在字符串中，保存为文件，会自动截断后面内容。 如：$filename 构造为：”a.php\0.jpg” ，我们想想，将会变成怎么样？
$newfile = “upload/a.php\0.jpg” 因为，对扩展名验证，最右边”.”后面字符是jpg ，是允许图片格式。 但是，我们一以该文件名，保存。 发现磁盘会在upload目录下面生成a.php ，\0后面所有字符，被自动截断。
该漏洞，风靡一时。当时几乎大多数上存网站都有漏洞。一时，很多平台关闭了上存。其实，根本原因就在此。我们拿到文件名，自己作为最终生成文件名保存了。 好的方法，是自己随机生成文件名+读取扩展名 。这样可以组织输入特殊字符，在进行文件保存时候，被抛弃或截断了。
php4时代这个漏洞可以利用，到php5时代，生成的变量文件名值中，会自动过滤掉”\0” ，这样无论用户构造怎么样的特殊”\0”用户名，都会被截断。 但是 ，目前这类漏洞，在asp,jsp 等站点。还经常有出现。老版本的php站点也会经常出现。
好了，今天先到这里，后面还有2种其它常见方法，后面给出！欢迎交流！
相关文章
PHP5.3 新版本跟随了很多新特性， 其中比较惹眼的特性之一就是支持了闭包。那么以后，我们也可以和那帮写 Ruby、Javascript 等等“高科技语言”的家伙们一样，写出非常酷的代码吗？2009-10-10
这篇文章主要介绍了PHP使用PHPExcel删除Excel单元格指定列的方法,涉及PHPExcel针对Excel单元格的遍历操作及removeColumn方法删除单元格的相关使用技巧,需要的朋友可以参考下2016-07-07
在php的很多成熟框架中，数据库存储时间都是用int类型而不是datetime类型的2012-02-02
PHP中遇到BOM、<feff>编码导致json_decode函数无法解析问题
这篇文章主要介绍了PHP中遇到BOM、<feff>编码导致json_decode函数无法解析问题,json无法正常解析的同学可以看一下,是不是看不见的BOM编码导致的问题,需要的朋友可以参考下2014-07-07
php长字符串定义方法，需要的朋友可以参考下2012-07-07
这篇文章主要介绍了PHP观察者模式定义与用法,结合具体实例形式分析了观察者模式的原理,及php定义、使用观察者模式相关操作技巧,需要的朋友可以参考下2019-03-03
最近需要做到交叉表，而公司的需求比较复杂，一般的交叉表工具都不适合用2010-08-08
这篇文章主要介绍了php自定义函数实现JS的escape的方法,结合完整实例形式分析了php实现JS的escape功能函数的相关技巧,具有一定参考借鉴价值,需要的朋友可以参考下2016-07-07
在一个项目里用到这样的东西，用另外一个服务做了一些事情，生成的文件权限，通过php 无法读取，测试了很多种方式都没能实现，在网上找了下，可以用c写一个代理来实现，本人就实现了一下，果真可以。2009-07-07
这篇文章主要介绍了php类的自动加载操作,结合实例形式详细分析了php类的自动加载操作相关函数与实现技巧,需要的朋友可以参考下2016-09-09
最新评论