文章大纲：

• 1、入侵网站有多少种 *** ？
• 2、网站如何防范“上传漏洞”入侵
• 3、网站入侵的常用 ***
• 4、文件上传漏洞攻击 *** 有什么？

入侵网站有多少种 *** ？

目前常用的网站入侵 *** 有五种：上传漏洞、暴库、注入、旁注、COOKIE诈骗。

1、上传漏洞：利用上传漏洞可以直接得到Web shell，危害等级超级高，现在的入侵中上传漏洞也是常见的漏洞。

2、暴库：暴库就是提交字符得到数据库文件，得到了数据库文件我们就直接有了站点的前台或者后台的权限。

3.注入漏洞：这个漏洞是现在应用最广泛，杀伤力也很大的漏洞，可以说微软的官方网站也存在着注入漏洞;注入漏洞是因为字符过滤不严谨所造成的，可以得到管理员的账号密码等相关资料。

4、旁注：找到和这个站同一服务器的站点，然后在利用这个站点进行提权，嗅探等 *** 来入侵我们要入侵的站点。

5、COOKIE诈骗：COOKIE是上网时由网站所为你发送的值记录了你的一些资料，比如说：IP、姓名等。

网站如何防范“上传漏洞”入侵

上传漏洞入侵是目前对网站最广泛的入侵 *** 。90%的具有上传页面的网站，都存在上传漏洞。本文将介绍常见的上传漏洞及其防范技巧。

一、能直接上传asp文件的漏洞

如果网站有上传页面，就要警惕直接上传asp文件漏洞。例如去年流行的动网5.0/6.0论坛，就有个upfile.asp上传页面，该页面对上传文件扩展名过滤不严，导致黑客能直接上传asp文件，因此黑客只要打开upfile.asp页，直接上传，asp木马即可拿到webshell、拥有网站的管理员控制权。

除此之外，目前已发现的上传漏洞

，还有动感购物商城、动力上传漏洞、乔客上传漏洞等，只要运行明小子Domain3.5，点击综合上传，即可看到这些著名的上传漏洞。

像明小子这样的上传漏洞利用工具如今还有很多，例如上传漏洞程序4in1、动易2005上传漏洞利用工具、雷池新闻系统上传漏洞利用工具、MSSQL上传漏洞利用工具等等，使用此类工具，只需填写上传页面网址和Cookies，即可成功入侵网站。

【防范 *** 】：为了防范此类漏洞，建议网站采用最新版（例如动网7.1以上版本）程序建站，因为最新版程序一般都没有直接上传漏洞，当然删除有漏洞的上传页面，将会最安全，这样黑客再也不可能利用上传漏洞入侵了！

如果不能删除上传页面，为了防范入侵，建议在上传程序中添加安全代码，禁止上传asp\asa\js\exe\com等类文件，这需要管理者能看懂asp程序。

二、00上传漏洞

目前网上流行的所有无组件上传类都存在此类漏洞即黑客利用抓包嗅探、ULTRAEDIT和 *** 军刀等工具伪造IP包，突破服务器端对上传文件名、路径的判断，巧妙上传ASP、ASA、CGI、CDX、CER、ASPX类型的木马。

例如黑客上传了一个木马文件（xiaomm.asp空格.jpg），由于上传程序不能正确判断含有十六进制00的文件名或路径，于是就出现了漏洞，当上传程序接收到xiaomm.asp空格.jpg文件名数据时，一旦发现xiaomm.asp后面还有空格（十六进制的00），它就不会再读下去，于是上传的文件在服务器上就会被保存成xiaomm.asp，因此上传木马就成功了！

【防范 *** 】：最安全的防范办法就是删除上传页面。

三、图片木马上传漏洞

有的网站（例如动网7.1SP1博客功能），其后台管理中可以恢复/备份数据库，这会被黑客用来进行图片木马入侵。

图片木马入侵过程如下：首先将本地木马（例如F:\labxw\xiaomm.asp）扩展名改为.gif，然后打开上传页面，上传这个木马（例如F:\labxw\xiaomm.gif）；再通过注入法拿到后台管理员的账号密码，溜进网站后台管理中，使用备份数据库功能将.gif木马备份成.asp木马（例如xiaomm.asp），即在备份数据库路径（相对）输入刚才图片上传后得到的路径，在目标数据库路径输入：xiaomm.asp，提示恢复数据库成功；现在打开IE，输入刚才恢复数据库的asp路径，木马就能运行了。

【防范 *** 】：删除后台管理中的恢复/备份数据库功能。

四、添加上传类型漏洞如今大多数论坛后台中都允许添加上传类型，这也是个不小的漏洞！只要黑客用注入法拿到后台管理员账号密码，然后进入后台添加上传类型，在上传页面中就能直接上传木马！

例如bbsxp后台中允许添加asa|asP类型，通过添加操作后，就可以上传这两类文件了；ewebeditor后台也能添加asa类型，添加完毕即可直接上传asa后缀的木马；而LeadBbs3.14后台也允许在上传类型中增加asp类型，不过添加时asp后面必须有个空格，然后在前台即可上传ASP木马（在木马文件扩展名.asp后面也要加个空格）。

【防范 *** 】：删除后台管理中的添加上传类型功能。

五、通用防范上传漏洞入侵秘笈：将服务器端的组件改名

众所周知，ASP木马主要是通过三种组件FileSystemObject、WScript.Shell和Shell.Application来操作的，因此只要你在服务器上修改注册表，将这三种组件改名，即可禁止木马运行、防范黑客入侵了。这一招能防范所有类型的上传漏洞，因为即使黑客将木马成功上传到服务器中，但是由于组件已经被改名，木马程序也是无法正常运行的！

具体而言，需要将FileSystemObject组件、WScript.Shell组件、Shell.Application组件改名，然后禁用Cmd.exe，就可以预防漏洞上传攻击。

网站入侵的常用 ***

目前常用的网站入侵 *** 有五种：上传漏洞、暴库、注入、旁注、COOKIE诈骗。

1、上传漏洞：利用上传漏洞可以直接得到Web shell，危害等级超级高，现在的入侵中上传漏洞也是常见的漏洞。

2、暴库：暴库就是提交字符得到数据库文件，得到了数据库文件我们就直接有了站点的前台或者后台的权限。

3.注入漏洞：这个漏洞是现在应用最广泛，杀伤力也很大的漏洞，可以说微软的官方网站也存在着注入漏洞;注入漏洞是因为字符过滤不严谨所造成的，可以得到管理员的账号密码等相关资料。

4、旁注：找到和这个站同一服务器的站点，然后在利用这个站点进行提权，嗅探等 *** 来入侵我们要入侵的站点。

5、COOKIE诈骗：COOKIE是上网时由网站所为你发送的值记录了你的一些资料，比如说：IP、姓名等。

文件上传漏洞攻击 *** 有什么？

文件上传漏洞是什么？怎样防御文件上传漏洞攻击？文件上传漏洞是web安全中经常利用到的一种漏洞形式。这种类型的攻击从大的类型上来说，是攻击 数据与代码分离原则 的一种攻击。

一些web应用程序中允许上传图片，文本或者其他资源到指定的位置，文件上传漏洞就是利用这些可以上传的地方将恶意代码植入到服务器中，再通过url去访问以执行代码

造成文件上传漏洞的原因是

对于上传文件的后缀名（扩展名）没有做较为严格的限制

对于上传文件的MIMETYPE 没有做检查

权限上没有对于上传的文件的文件权限，（尤其是对于shebang类型的文件）

对于web server对于上传文件或者指定目录的行为没有做限制

下面就闲话一些文件上传漏洞的防御方式和攻击者的绕过方式

1.前端限制

function check(){

var filename=document.getElementById("file");

var str=filename.value.split(".");

var ext=str[str.length-1];

if(ext=='jpg'||ext=='png'||ext=='jpeg'||ext=='gif'){

return true;

}else{

alert("这不是图片！")

return false;

}

return false;

}

在表单中使用onsumbit=check()调用js函数来检查上传文件的扩展名。这种限制实际上没有任何用处，任何攻击者都可以轻而易举的破解。只能用于对于用户完全信任的情况下，很难称之为一种安全措施只能称之是一种防止用户误操作上传的措施，

反制：

随便的编辑一下页面/用burpsuite/写个小脚本就可以突破之，无须多言

2.检查扩展名

顾名思义，就是在文件被上传到服务端的时候，对于文件名的扩展名进行检查，如果不合法，则拒绝这次上传

在这里，还有一点是值得一提的，在检查扩展名是否合法的时候，有两种策略

黑名单策略，文件扩展名在黑名单中的为不合法,示例代码

$postfix = end(explode('.','$_POST['filename']);

if($postfix=='php'||$postfix=='asp'||$postfix=='sh'){

echo "invalid file type";

return;

}

白名单策略，文件扩展名不在白名单中的均为不合法

$postfix = end(explode('.','$_POST['filename']);

if($postfix=='jpg'||$postfix=='png'||$postfix=='gif'){

//save the file and do something next

} else {

echo "invalid file type";

return;

}

白名单策略是更加安全的，通过限制上传类型为只有我们接受的类型，可以较好的保证安全，因为黑名单我们可以使用各种 *** 来进行注入和突破

反制

在一些 webserver 中，存在解析漏洞

1.老版本的IIS中的目录解析漏洞，如果网站目录中有一个 /.asp/目录，那么此目录下面的一切内容都会被当作asp脚本来解析

2.老板本的IIS中的分号漏洞：IIS在解析文件名的时候可能将分号后面的内容丢弃，那么我们可以在上传的时候给后面加入分号内容来避免黑名单过滤，如 a.asp;jpg

3.旧版Windows Server中存在空格和dot漏洞类似于 a.php. 和 a.php[空格] 这样的文件名存储后会被windows去掉点和空格，从而使得加上这两个东西可以突破过滤，成功上传，并且被当作php代码来执行

4.nginx空字节漏洞 xxx.jpg%00.php 这样的文件名会被解析为php代码运行

5.apache的解析漏洞，上传如a.php.rar a.php.gif 类型的文件名，可以避免对于php文件的过滤机制，但是由于apache在解析文件名的时候是从右向左读，如果遇到不能识别的扩展名则跳过，rar等扩展名是apache不能识别的，因此就会直接将类型识别为php，从而达到了注入php代码的目的

3.检查HTTP Header中的Content-Type

HTTP协议规定了上传资源的时候在Header中加上一项文件的MIMETYPE，来识别文件类型，这个动作是由浏览器完成的，服务端可以检查此类型不过这仍然是不安全的,因为HTTP header可以被发出者或者中间人任意的修改，不过加上一层防护也是可以有一定效果的

反制

使用各种各样的工具（如burpsuite）强行篡改Header就可以，太容易将header中的

Content-Type: application/php

或者其他类型

改为

Content-Type: image/jpg

Content-Type: image/png

Content-Type: text/plain

等这些web程序允许的泪洗改附上常用的MIMETYPE表

text/plain（纯文本）

text/html（HTML文档）

text/javascript（js代码）

application/xhtml+xml（XHTML文档）

image/gif（GIF图像）

image/jpeg（JPEG图像）

image/png（PNG图像）

video/mpeg（MPEG动画）

application/octet-stream（二进制数据）

application/pdf（PDF文档）

application/(编程语言) 该种语言的代码

application/msword（Microsoft Word文件）

message/rfc822（RFC 822形式）

multipart/alternative（HTML邮件的HTML形式和纯文本形式，相同内容使用不同形式表示）

application/x-www-form-urlencoded（POST *** 提交的表单）

multipart/form-data（POST提交时伴随文件上传的表单）

4.分析文件头内容来检查文件类型

与 *** 2不同，还有一种检查类型的方式是使用对于文件内容的验证机制，这种 *** 利用的是每一个特定类型的文件都会有不太一样的开头或者标志位。可以通过比如php的exif_imagetype()函数，一个通过这种 *** 来过滤的示例代码如下：

if (! exif_imagetype($_FILES['uploadedfile']['tmp_name'])) {

echo "File is not an image";

return;

}

也可以自己编写函数来进行识别，图片文件通常有称作幻数的头字节，我们来看一下几种图片文件的幻数：

（注意！下面是二进制而不是文本格式的数据）

JPG

FF D8 FF E0 00 10 4A 46 49 46

GIF

47 49 46 38 39 61

(相当于文本的GIF89a)

PNG

89 50 4E 47

通过检查头几位字节，可以分辨是否是图片文件

如果是其他类型的二进制文件，也有响应的头字节，如下表

反制

给上传脚本加上相应的幻数头字节就可以，php引擎会将

（一般不限制图片文件格式的时候使用GIF的头比较方便，因为全都是文本可打印字符。）

GIF89a

do_something();

?

如果是其他类型的二进制文件，也有响应的头字节，如下表

格式

文件头

TIFF (tif)

49492A00

Windows Bitmap (bmp)

424D

CAD (dwg)

41433130

Adobe Photoshop (psd)

38425053

Rich Text Format (rtf)

7B5C727466

MS Word/Excel (xls.or.doc)

D0CF11E0

MS Access (mdb)

5374616E64617264204A

ZIP Archive (zip)，

504B0304

RAR Archive (rar)，

52617221

Wave (wav)，

57415645

AVI (avi)，

41564920

Real Media (rm)，

2E524D46

MPEG (mpg)，

000001BA

MPEG (mpg)，

000001B3

Quicktime (mov)，

6D6F6F76

Adobe Acrobat (pdf)，

255044462D312E

Windows Media (asf)，

3026B2758E66CF11

MIDI (mid)，

4D546864

5.限制Web Server对于特定类型文件的行为

导致文件上传漏洞的根本原因在于服务把用户上传的本应是数据的内容当作了代码，一般来说，用户上传的内容都会被存储到特定的一个文件夹下，比如我们很多人习惯于放在 ./upload/ 下面要防止数据被当作代码执行，我们可以限制web server对于特定文件夹的行为。

大多数服务端软件都可以支持用户对于特定类型文件的行为的自定义，以Apache为例：

在默认情况下，对与 .php文件Apache会当作代码来执行，对于 html,css,js文件，则会直接由HTTP Response交给客户端程序对于一些资源文件，比如txt，doc，rar等等，则也会以文件下载的方式传送的客户端。我们希望用户上传的东西仅仅当作资源和数据而不能当作代码

因此可以使用服务器程序的接口来进行限制

以Apache为例,我们可以利用 .htaccess 文件机制来对web server行为进行限制

在这里插一句，如果不是专门的文件下载目录，请务必关掉文件夹浏览的权限，以防止嗅探和可能的越权，也是使用.htaccess文件，在其中加上一句

Options All -Indexes

即可。

禁止脚本执行有多种方式可以实现，而且分别有不同的效果，我们分别来看一下

1.指定特定扩展名的文件的处理方式,原理是指定Response的Content-Type可以加上如下几行

AddType text/plain .pl .py .php

这种情况下，以上几种脚本文件会被当作纯文本来显示出来，你也可以换成其他的Content-Type

2.如果要完全禁止特定扩展名的文件被访问，用下面的几行

Options -ExecCGI

AddHandler cgi-script .php .pl .py .jsp .asp .htm .shtml .sh .cgi识别

在这种情况下，以上几种类型的文件被访问的时候，会返回403 Forbidden的错误

3.也可以强制web服务器对于特定文件类型的处理，与之一条不同的是， 下面的 *** 直接强行让apache将文件识别为你指定的类型，而之一种是让浏览器

ForceType text/plain

看代码就可以很明白的知道，符合上面正则的全部被认为是纯文本，也可以继续往里面加入其他类型。

4.只允许访问特定类型的文件

order deny,allow

deny from all

在一个上传图片的文件夹下面，就可以加上这段代码，使得该文件夹里面只有图片扩展名的文件才可以被访问，其他类型都是拒绝访问。

这又是一个白名单的处理方案

永远记得，白名单是最有保障的安全措施

可以通过 move_uploaded_file 函数把自己写的.htaccess 文件上传，覆盖掉服务器上的文件，来定义文件类型和执行权限如果做到了这一点，将获得相当大的权限。