Spring MultipartFile 文件上传安全风险分析

漏洞概述

在Spring框架版本<=4.1.8中，MultipartFile文件上传功能存在潜在的安全威胁，可能导致目录穿越漏洞。这种漏洞允许攻击者通过精心构造的文件名或路径，将文件上传到服务器文件系统的任意位置，可能造成严重的安全后果。

漏洞原理

关键问题点

1. 文件名处理不当：Spring早期版本对上传文件的原始文件名(getOriginalFilename())处理不够严格
2. 路径验证缺失：未对文件保存路径进行充分的规范化检查和验证
3. 相对路径问题：允许包含../等路径遍历字符的文件名

攻击场景

攻击者可以构造包含路径遍历字符的文件名，如：

../../../../etc/passwd

或

../../../webapps/ROOT/shell.jsp

当应用程序直接将原始文件名用于保存路径时，可能导致文件被写入非预期目录。

漏洞复现

易受攻击的代码示例

@PostMapping("/upload")
public String handleFileUpload(@RequestParam("file") MultipartFile file) {
    String fileName = file.getOriginalFilename();
    File dest = new File("/var/www/uploads/" + fileName);
    file.transferTo(dest);
    return "redirect:/uploadSuccess";
}

攻击方式

1. 构造恶意请求，上传包含路径遍历字符的文件
2. 文件被保存到系统敏感位置
3. 可能导致：
   • 覆盖系统关键文件
   • 上传webshell获取服务器控制权
   • 泄露敏感信息

修复方案

1. 升级Spring框架

升级到Spring 4.1.9或更高版本，这些版本对文件名处理进行了安全改进。

2. 文件名安全处理

// 安全处理文件名
public static String sanitizeFilename(String filename) {
    if(filename == null) return null;
    
    // 替换路径分隔符
    filename = filename.replace("../", "").replace("..\\", "");
    
    // 获取最后的文件名部分
    filename = new File(filename).getName();
    
    // 移除非字母数字字符
    filename = filename.replaceAll("[^a-zA-Z0-9.-]", "_");
    
    return filename;
}

3. 安全文件上传实现

@PostMapping("/upload")
public String handleFileUpload(@RequestParam("file") MultipartFile file) {
    // 验证文件不为空
    if (file.isEmpty()) {
        throw new IllegalArgumentException("File is empty");
    }
    
    // 安全处理文件名
    String fileName = sanitizeFilename(file.getOriginalFilename());
    
    // 定义安全的上传目录
    Path uploadDir = Paths.get("/var/www/uploads").normalize().toAbsolutePath();
    
    // 构造目标路径并验证
    Path destination = uploadDir.resolve(fileName).normalize();
    if (!destination.startsWith(uploadDir)) {
        throw new IllegalArgumentException("Invalid file path");
    }
    
    // 保存文件
    file.transferTo(destination.toFile());
    
    return "redirect:/uploadSuccess";
}

4. 额外安全措施

1. 文件类型验证：检查文件内容而不仅是扩展名
2. 文件大小限制：防止大文件攻击
3. 病毒扫描：对上传文件进行恶意代码扫描
4. 内容检查：对文本文件检查潜在恶意内容
5. 权限控制：确保上传目录有适当权限

最佳实践

1. 永远不要信任客户端提供的文件名
2. 使用白名单验证文件扩展名
3. 将上传文件存储在Web根目录之外
4. 为上传文件生成随机文件名
5. 记录所有文件上传操作
6. 考虑使用专门的文件存储服务（如S3）

总结

Spring MultipartFile文件上传功能在早期版本中存在目录穿越风险，开发者必须谨慎处理上传文件名和路径。通过升级框架、实施严格的输入验证、采用安全编码实践，可以有效防范此类安全威胁。文件上传功能是Web应用常见的高风险点，应当给予特别的安全关注。