记一次别样的文件上传
字数 2566 2025-11-07 08:41:54

教学文档：利用文件名覆盖漏洞实现文件上传攻击

文档版本： 1.0
创建日期： 2024年10月25日
目标读者： 渗透测试人员、Web应用安全爱好者、开发人员
前置知识： 基本的Web渗透测试概念，了解文件上传漏洞常见绕过手法。

一、 漏洞概述

本教学文档将详细讲解一种**“别样”的文件上传漏洞利用方式**。与常见的绕过文件内容检测、后缀名黑名单/白名单校验等技术不同，本次攻击的核心在于利用目标系统对上传文件名的处理不当，实现对云存储桶（或服务器目录）中已有文件的覆盖攻击。

这种攻击的危害性极大，因为它可以：

  1. 破坏现有业务：覆盖重要的用户头像、产品图片、文档等，导致网站功能异常。
  2. 传播恶意内容：将正常图片覆盖为含有恶意脚本的图片（如图片马），或覆盖为反动、暴力内容，进行污损攻击。
  3. 窃取敏感信息：结合其他漏洞（如路径遍历），可能覆盖系统关键文件。
  4. 权限维持：覆盖某些可执行或可解析的文件，获取服务器权限。

二、 核心攻击原理

一个安全的文件上传功能，通常会对上传的文件名进行重命名（例如，使用时间戳+随机数生成新文件名），以防止文件名冲突和此类覆盖攻击。

本漏洞存在的根本原因是：目标系统在处理用户上传文件时，完全信任并使用用户提供的原始文件名，未做任何重命名或有效性校验，直接将其存储到目标目录或云存储桶中。

这导致了与“云存储桶覆盖”类似的攻击面，但攻击门槛更低，因为它无需获取云服务的Access Key等凭据，只需通过Web应用的上传接口即可实现。

三、 攻击步骤详解

以下步骤完全基于链接文章中的实战案例。

步骤一：信息收集与目标确认

  1. 资产发现：通过FOFA、Shodan等网络空间测绘引擎，使用特定关键词（如title="某大学考研座位管理系统"）定位目标系统。
  2. 初步访问：访问系统，通常是一个登录界面。通过社会工程学或信息泄露（如在GitHub、文库站点搜索该校信息）获取测试账号或注册新账号。
  3. 功能点探测：登录系统后，全面测试所有功能模块，寻找文件上传点。在本案例中，攻击者找到了“书籍转卖”功能中的上传点。

步骤二：基础测试与关键信息泄露

  1. 基础文件上传测试：上传一个正常的图片文件（如test.jpg），观察系统行为。
  2. 关键发现：
    • 漏洞迹象：上传后，系统返回的文件访问URL中，文件名与本地文件名完全一致（例如：https://target-bucket.oss-cn-hangzhou.aliyuncs.com/avatars/test.jpg）。这是本漏洞存在的强烈信号。
    • 信息泄露：在测试其他接口时，攻击者发现了一个信息泄露接口，该接口返回了用户的个人敏感信息，包括其上传的头像图片的完整URL地址（例如：https://target-bucket.oss-cn-hangzhou.aliyuncs.com/avatars/student_12345.jpg）。这一步虽然不是漏洞利用的必要条件，但它为攻击提供了精确的目标文件名。

步骤三：漏洞利用与文件覆盖

  1. 构造攻击文件：准备一个恶意文件。这个文件可以是：
    • 一个用于污损攻击的图片。
    • 一个包含WebShell代码的图片马（如果存储桶支持动态脚本执行，则危害更大）。
    • 在本案例中，攻击者旨在证明漏洞存在，可能只是准备了一个内容不同的图片。
  2. 执行覆盖攻击：
    • 将准备好的攻击文件重命名为从信息泄露接口获取到的目标文件名（如student_12345.jpg）。
    • 通过“书籍转卖”的上传功能，上传这个重命名后的文件。
  3. 验证攻击效果：
    • 再次访问原用户头像的URL（https://.../student_12345.jpg）。
    • 结果：浏览器显示的不再是原来的用户头像，而是攻击者上传的新图片。这表明文件覆盖攻击成功。

四、 漏洞挖掘与防御方案

A. 对于渗透测试人员（攻击视角）：

在日常渗透测试中，应将此方法纳入文件上传漏洞的测试 Checklist：

  1. 在任何文件上传功能点，首先尝试上传一个普通文件。
  2. 仔细观察应用响应，确认服务器存储的文件名是否与本地文件名相同。
  3. 如果文件名相同，立即尝试覆盖攻击：
    • 方法1（盲覆盖）：尝试上传名为 logo.png、avatar.jpg、default.png 等常见文件名的文件，然后访问网站上看这些资源是否被替换。
    • 方法2（定向覆盖）：如果发现信息泄露，获取到具体文件名，则进行精确打击。
  4. 可以结合路径遍历（../../../）尝试将文件上传到其他目录。

B. 对于开发人员（防御视角）：

根本的解决方案是不要信任任何用户输入，包括文件名。以下是最佳实践：

  1. 文件重命名：这是最有效的方法。使用不可预测的标识符（如UUID）或服务器端生成的唯一标识（如时间戳+随机数）对文件进行重命名。例如，用户上传的 myphoto.jpg 在服务器上被存储为 a1b2c3d4e5f6.jpg。
  2. 文件名白名单校验：对文件后缀名进行严格的白名单过滤（如只允许 .jpg, .png, .gif），并移除文件名中的特殊字符和路径分隔符。
  3. 文件内容校验：使用文件头（Magic Number）校验文件类型，确保文件内容与后缀名匹配，防止图片马攻击。
  4. 存储隔离：将用户上传的文件存储在独立的存储桶或非Web根目录下，通过后端代码或CDN代理访问，避免直接URL访问。
  5. 权限控制：如果使用云存储桶，配置严格的读写权限策略（如PutObject权限仅限特定IP或服务角色），避免公开写权限。

五、 总结

本次案例展示的“别样”文件上传漏洞，其独特之处在于利用了开发人员容易忽略的一个细节——文件名处理。它提醒我们，安全是一个完整的链条，任何一个环节的疏忽都可能导致严重的后果。对于安全研究人员而言，需要具备更广阔的思路，不局限于常规的绕过技巧；对于开发者而言，必须贯彻“永不信任用户输入”的安全基本原则，对所有输入数据进行严格校验和处理。

免责声明： 本文档内容仅用于安全教学和技术研究目的。任何个人或组织不得将其用于任何非法或未授权的测试活动。使用者需遵守相关法律法规，否则后果自负。

教学文档：利用文件名覆盖漏洞实现文件上传攻击 文档版本： 1.0 创建日期： 2024年10月25日 目标读者： 渗透测试人员、Web应用安全爱好者、开发人员 前置知识： 基本的Web渗透测试概念，了解文件上传漏洞常见绕过手法。 一、 漏洞概述 本教学文档将详细讲解一种** “别样”的文件上传漏洞利用方式** 。与常见的绕过文件内容检测、后缀名黑名单/白名单校验等技术不同，本次攻击的核心在于 利用目标系统对上传文件名的处理不当，实现对云存储桶（或服务器目录）中已有文件的覆盖攻击 。 这种攻击的危害性极大，因为它可以： 破坏现有业务 ：覆盖重要的用户头像、产品图片、文档等，导致网站功能异常。 传播恶意内容 ：将正常图片覆盖为含有恶意脚本的图片（如图片马），或覆盖为反动、暴力内容，进行污损攻击。 窃取敏感信息 ：结合其他漏洞（如路径遍历），可能覆盖系统关键文件。 权限维持 ：覆盖某些可执行或可解析的文件，获取服务器权限。 二、 核心攻击原理 一个安全的文件上传功能，通常会对上传的文件名进行重命名（例如，使用时间戳+随机数生成新文件名），以防止文件名冲突和此类覆盖攻击。 本漏洞存在的根本原因是： 目标系统在处理用户上传文件时，完全信任并使用用户提供的原始文件名，未做任何重命名或有效性校验，直接将其存储到目标目录或云存储桶中。 这导致了与“云存储桶覆盖”类似的攻击面，但攻击门槛更低，因为它无需获取云服务的Access Key等凭据，只需通过Web应用的上传接口即可实现。 三、 攻击步骤详解 以下步骤完全基于链接文章中的实战案例。 步骤一：信息收集与目标确认 资产发现 ：通过FOFA、Shodan等网络空间测绘引擎，使用特定关键词（如 title="某大学考研座位管理系统" ）定位目标系统。 初步访问 ：访问系统，通常是一个登录界面。通过社会工程学或信息泄露（如在GitHub、文库站点搜索该校信息）获取测试账号或注册新账号。 功能点探测 ：登录系统后，全面测试所有功能模块，寻找文件上传点。在本案例中，攻击者找到了“书籍转卖”功能中的上传点。 步骤二：基础测试与关键信息泄露 基础文件上传测试 ：上传一个正常的图片文件（如 test.jpg ），观察系统行为。 关键发现 ： 漏洞迹象 ：上传后，系统返回的文件访问URL中，文件名与本地文件名 完全一致 （例如： https://target-bucket.oss-cn-hangzhou.aliyuncs.com/avatars/test.jpg ）。这是本漏洞存在的强烈信号。 信息泄露 ：在测试其他接口时，攻击者发现了一个信息泄露接口，该接口返回了用户的个人敏感信息，包括 其上传的头像图片的完整URL地址 （例如： https://target-bucket.oss-cn-hangzhou.aliyuncs.com/avatars/student_12345.jpg ）。这一步虽然不是漏洞利用的必要条件，但它为攻击提供了 精确的目标文件名 。 步骤三：漏洞利用与文件覆盖 构造攻击文件 ：准备一个恶意文件。这个文件可以是： 一个用于污损攻击的图片。 一个包含WebShell代码的图片马（如果存储桶支持动态脚本执行，则危害更大）。 在本案例中，攻击者旨在证明漏洞存在，可能只是准备了一个内容不同的图片。 执行覆盖攻击 ： 将准备好的攻击文件 重命名 为从信息泄露接口获取到的目标文件名（如 student_12345.jpg ）。 通过“书籍转卖”的上传功能，上传这个重命名后的文件。 验证攻击效果 ： 再次访问原用户头像的URL（ https://.../student_12345.jpg ）。 结果 ：浏览器显示的不再是原来的用户头像，而是攻击者上传的新图片。这表明文件覆盖攻击成功。 四、 漏洞挖掘与防御方案 A. 对于渗透测试人员（攻击视角）： 在日常渗透测试中，应将此方法纳入文件上传漏洞的测试 Checklist： 在任何文件上传功能点，首先尝试上传一个普通文件。 仔细观察应用响应，确认服务器存储的文件名是否与本地文件名相同。 如果文件名相同，立即尝试覆盖攻击： 方法1（盲覆盖） ：尝试上传名为 logo.png 、 avatar.jpg 、 default.png 等常见文件名的文件，然后访问网站上看这些资源是否被替换。 方法2（定向覆盖） ：如果发现信息泄露，获取到具体文件名，则进行精确打击。 可以结合路径遍历（ ../../../ ）尝试将文件上传到其他目录。 B. 对于开发人员（防御视角）： 根本的解决方案是 不要信任任何用户输入 ，包括文件名。以下是最佳实践： 文件重命名 ：这是最有效的方法。使用不可预测的标识符（如UUID）或服务器端生成的唯一标识（如 时间戳+随机数 ）对文件进行重命名。例如，用户上传的 myphoto.jpg 在服务器上被存储为 a1b2c3d4e5f6.jpg 。 文件名白名单校验 ：对文件后缀名进行严格的白名单过滤（如只允许 .jpg , .png , .gif ），并移除文件名中的特殊字符和路径分隔符。 文件内容校验 ：使用文件头（Magic Number）校验文件类型，确保文件内容与后缀名匹配，防止图片马攻击。 存储隔离 ：将用户上传的文件存储在独立的存储桶或非Web根目录下，通过后端代码或CDN代理访问，避免直接URL访问。 权限控制 ：如果使用云存储桶，配置严格的读写权限策略（如PutObject权限仅限特定IP或服务角色），避免公开写权限。 五、 总结 本次案例展示的“别样”文件上传漏洞，其独特之处在于利用了开发人员容易忽略的一个细节—— 文件名处理 。它提醒我们，安全是一个完整的链条，任何一个环节的疏忽都可能导致严重的后果。对于安全研究人员而言，需要具备更广阔的思路，不局限于常规的绕过技巧；对于开发者而言，必须贯彻“永不信任用户输入”的安全基本原则，对所有输入数据进行严格校验和处理。 免责声明： 本文档内容仅用于安全教学和技术研究目的。任何个人或组织不得将其用于任何非法或未授权的测试活动。使用者需遵守相关法律法规，否则后果自负。