网站防范上传漏洞入侵的实用方法

“上传漏洞”攻击，在网站安全领域可谓“老面孔”了，但它的危害性始终居高不下。数据统计显示，超过90%具备上传功能的网站，都潜藏着这类风险。今天我们就来系统剖析几种常见的上传漏洞，并分享实用的防御策略——这不是晦涩的理论，而是每位站长都应该掌握的实战技能。

一、能直接上传asp文件的漏洞

只要网站存在上传页面，就必须保持高度警惕——直接上传asp文件这个漏洞虽然传统，却依然致命。以当年流行的动网5.0/6.0论坛为例，其upfile.asp上传页面因扩展名过滤不严谨，黑客可直接上传一个asp木马，从而获取webshell，进而完全控制整个网站。

类似的漏洞还出现在动感购物商城、动力上传、乔客等系统中。打开“明小子Domain3.5”这类工具，点击“综合上传”，就能看到这些知名漏洞的列表。而这类工具远不止一个：上传漏洞程序4in1、动易2005上传漏洞利用工具、雷池新闻系统上传漏洞利用工具、MSSQL上传漏洞利用工具……它们的使用方式高度一致：填写好上传页面网址和Cookies，点击一下，入侵就瞬间完成。

防范方法：最稳妥的做法是使用最新版本程序建站，比如动网7.1以上版本，这类漏洞通常已被修复。当然，直接删除有漏洞的上传页面可以一劳永逸。如果必须保留上传功能，就需要在代码中增设一道安全锁——禁止上传asp、asa、js、exe、com等危险后缀，这要求管理者具备一定的ASP代码阅读能力。

二、00上传漏洞

目前网上流行的所有无组件上传类，几乎都难以避开这个陷阱。黑客利用“抓包嗅探”、“ULTRAEDIT”、“网络军刀”等工具伪造IP包，绕过服务器对文件名和路径的判断，上传ASP、ASA、CGI、CDX、CER、ASPX等类型的木马。

原理其实很简单：黑客上传一个名为xiaomm.asp空格.jpg的文件（注意，空格是十六进制的00）。上传程序在处理文件名时，一旦读到xiaomm.asp后面的空格（也就是00），就会停止解析后续内容，结果文件被保存为xiaomm.asp——木马就这样成功落地了。

防范方法：最直接的办法还是删除上传页面。如果实在无法删除，就必须在代码层面对文件名进行严格校验，过滤掉含有空字符的情况。

三、图片木马上传漏洞

某些网站（比如动网7.1SP1的博客功能）在后台提供了数据库恢复/备份功能，这正好给黑客留下了可乘之机。流程大致如下：先将本地木马（比如xiaomm.asp）改后缀名为.gif，然后上传这个伪装成图片的木马文件；接着通过注入手段获取后台管理员账号密码，进入后台使用备份数据库功能，将.gif文件备份成.asp文件——在“备份数据库路径”里填上图片的路径，在“目标数据库路径”里填上xiaomm.asp，提示恢复成功。打开浏览器访问这个asp路径，木马就直接运行了。

防范方法：删除后台的恢复/备份数据库功能，从根源上切断这个漏洞链条。

四、添加上传类型漏洞

现在很多论坛的后台管理都允许管理员自定义上传文件类型，这本身就是一个不小的隐患。黑客只要通过注入获取管理员账号密码，进入后台添加上传类型，比如asa或asp，就能在前台上传对应的木马文件。

具体案例：BBSXP后台允许添加asa|asP类型，添加后即可上传这两类文件；ewebeditor后台同样可以添加asa类型，添加完直接上传asa后缀的木马；LeadBbs3.14后台也能添加asp类型，不过添加时asp后面必须加个空格，然后在前台上传asp木马时，文件名后面也要加个空格才能绕过。

防范方法：删除后台管理中的“添加上传类型”功能，不给黑客留下任何操作空间。

五、通用防范秘笈：将服务器端的组件改名

ASP木马主要依赖三个组件运行：FileSystemObject、WScript.Shell和Shell.Application。只要在服务器上修改注册表，把这几个组件改个名字，木马就算上传成功也无法执行。这一招可以通杀所有上传漏洞——黑客千辛万苦把木马丢上去了，但组件名字变了，程序根本跑不起来。

具体操作：分别修改上述三个组件的名称，再禁用Cmd.exe，就能有效防御这类漏洞攻击。虽然不能完全杜绝上传行为，但至少能让木马变成一堆死代码，无法对服务器造成实质威胁。