文件上传攻击的防范

根据攻击原理，可进行针对性的防范：

第一步，利用WEB服务器提供的文件上传功能（例如本意是让用户上传头像图片），从浏览器端上载一个木马文件，例如PHP文件；

——防范方法：在浏览器端或WEB服务器端对上传文件进行检查，拒绝那些非期望的文件格式；

第二步，探寻确定上传木马在WEB服务器上的存储位置；

——防范方法：对上传文件修改名称或加密存储，让攻击者找不到其上传的木马文件；

第三步，利用GET或POST语句访问WEB服务器上的木马文件，触发其执行，从而获得更高权限或更多非公开信息

——防范方法：将上传文件的存储目录设置为不可执行权限，限制木马的执行