文件上传 on SoulJian小站

渗透思路：上传按钮

Sun, 30 Aug 2026 00:00:00 +0800

写在前面：合法学习边界

上传测试只用于授权靶场。对真实系统上传木马可能触犯法律。

一、上传为什么危险

文件上传一旦能落地可执行目录，就等于给攻击者“放进去一个后门”。测试核心是“文件能不能传上去、能不能访问、能不能执行”。

二、思路清单

1. 前端校验绕过

1
2


直接改包（绕过 JS 限制）
删掉前端限制后重放

2. MIME / Content-Type 绕过

1
2


改 Content-Type 为 image/png 等
服务端若只看 MIME，可绕过

3. 扩展名校验绕过

1
2
3
4
5


双扩展：shell.php.jpg、shell.jpg.php
大小写：.PhP、.JSP
特殊后缀：.php3、.phtml、.php5、.jspx、.war、.asp
加空格/点/换行：shell.php 、shell.php.
配合服务器解析差异

4. 内容/文件头校验绕过

1
2


在文件头加图片魔数：GIF89a / \xFF\xD8\xFF
文件内容里夹一句话（图片马）

5. 解析漏洞

1
2
3
4


nginx 解析：/shell.jpg/x.php → 以 PHP 解析
Apache 多后缀解析
IIS 分号/畸形解析
中间件版本决定能否利用

6. 配合文件包含 / 其他

1
2
3
4


上传图片马 → 配合文件包含执行
上传 .htaccess / .user.ini 改解析规则
上传 XML → XXE
上传压缩包 → 解压路径穿越

7. 上传后路径探测

1
2
3


找上传文件真实路径（时间戳/随机名？）
目录探测：/upload/、/files/
访问确认是否能执行

三、优先级

1
2
3


先测能不能绕过上传限制（前端→MIME→扩展名→内容）
再判断服务器解析（解析漏洞）
最后配合文件包含/htaccess 打通执行

四、小结

上传测试的核心是“文件能不能落到可执行位置并被触发”。一条条过：前端、MIME、扩展名、内容、解析、配合。每个站点环境不同（中间件/语言），对应的绕过方式也不同，抓包 + 探测真实路径是关键。

文件上传漏洞与 WebShell 原理

Sat, 29 Aug 2026 05:05:00 +0800

写在前面：合法学习边界

本文讲解文件上传漏洞与 WebShell 原理。请不要在真实网站上传木马、绕过上传限制或获取未授权访问。所有测试都应在自建靶场、授权测试环境或明确授权目标上完成。WebShell 属于高风险行为，未经授权上传或执行可能涉及违法犯罪。

一、文件上传漏洞的本质

文件上传漏洞的本质是：系统允许用户上传文件，但没有正确限制文件类型、存储位置、访问路径或执行条件，最终导致恶意文件被保存并能被执行。

它通常包含几个条件：

1
2
3
4
5


上传入口存在
限制可以绕过
文件被保存到 Web 可访问目录
服务器可以解析并执行该文件
攻击者知道访问路径

二、常见绕过点

1. MIME 类型检查

有些系统只检查 Content-Type。修改请求头可能会绕过前端或简单后端检查。

2. 文件扩展名校验

只检查最后扩展名时，某些 Web 服务器可能仍能解析双扩展名、特殊后缀或不常见后缀。

3. 黑名单不完整

黑名单容易遗漏：

1
2
3
4
5
6
7
8
9


php
jsp
jspx
war
asp
aspx
ashx
php3
phtml

4. 上传目录可执行

如果上传文件放在 Web 根目录，并且 PHP/JSP/ASP 能解析，风险会更高。

5. 文件名处理不当

例如保存时使用原文件名，可能带来路径穿越、覆盖或执行风险。

三、WebShell 是什么

WebShell 是可以通过 Web 访问执行的脚本文件。它通常被上传到 Web 目录后，由 Web 服务解释执行。

常见类型：

1
2
3


PHP WebShell
JSP WebShell
ASP WebShell

学习时必须强调：WebShell 不是学习工具，而是攻击后果。真实工作中，发现 WebShell 应立即保留证据、隔离系统、清理后门、分析入侵链路。

四、WebShell 的典型行为

1
2
3
4
5
6


执行命令
读写文件
上传下载文件
创建反弹 Shell
查看数据库
修改配置

因此在应急响应中，发现 WebShell 后不能只删除文件，还要追查：

1
2
3
4
5


谁上传的
从哪里进入
是否已有后门
是否修改计划任务
是否横向移动

影响与危害

文件上传漏洞能造成：

1
2
3
4


上传 WebShell → 服务器沦陷
任意文件写入
存储型 XSS
整站被控制、内网横向

风险等级：高到严重。

五、防御清单

1. 白名单文件类型

只允许真正需要的扩展名，例如：

1
2
3
4
5
6


jpg
png
gif
pdf
docx
xlsx

2. 限制存储位置

上传文件不要放在可执行目录，最好放到对象存储或专门静态资源目录。

3. 重命名文件

不要使用用户原始文件名作为存储文件名。

4. 设置目录不可执行

如果上传目录只需要静态访问，就不要允许脚本执行。

5. WAF 和日志审计

监控上传频率、异常扩展名、异常文件名、异常响应和 WebShell 特征。

修复

1
2
3
4
5


服务端校验扩展名/MIME/文件内容（魔数）
上传目录禁止执行脚本
随机化文件名、限制目录
部署 WAF 并限制上传大小
修复后复测：绕过 payload 不再上传成功

验证操作步骤

1
2
3
4


第 1 步：抓上传请求，改 Content-Type/扩展名
第 2 步：双扩展/大小写/特殊后缀试绕过
第 3 步：上传后探测文件真实路径能否访问/执行
第 4 步：能执行即确认（配合 WebShell，授权内）

六、报告写法

示例：

1
2
3


发现：上传接口允许 .php 文件进入可执行目录，访问路径可触发脚本执行。
风险：可能导致服务器控制、数据泄露、横向移动和后门驻留。
建议：改为白名单类型；上传目录与执行目录分离；强制重命名；增加 WAF 与日志告警；排查是否已有 WebShell。

七、小结

文件上传漏洞的关键是“文件能不能落地、能不能访问、能不能执行”。WebShell 是上传漏洞被利用后的结果。学习时要理解边界，而不是把命令当成目标。