009 Web安全基础5 文件处理漏洞.pptx

Web应用程序在处理用户上传的文件操作时,如果用户上传文件的路径、文件名、扩展名成为用户可控数据,就会导致直接上传脚本木马到web服务器上,直接控制web服务器。 一些网站由于业务需求,往往需要提供文件查看或文件下载功能,但若对用户查看或下载的文件不做限制,则恶意用户就能够查看或下载任意敏感文件,这就是文件查看与下载漏洞 下载服务器任意文件,如脚本代码、服务及系统配置文件等 可用得到的代码进一步代码审计,得到更多可利用漏洞