这类漏洞，主要是可以读取用户传入路径名称，采用不正确的过滤方法，导致恶意用户，将文件上存到非预期的地方，带来安全隐患。
其实，我们抓住几个地方即可，我们先来分析下，既然用户要上存文件，而且文件将是多种多样格式；可能有的文件内容与用户传入格式不一致，有的文件内容还夹杂木马代码。 那么，我们让用户上存文件，跟站点文件做一个分别授权，做隔离。
让保存上存目录独立开来，目录权限只读不能执行
这一步从系统设计加以授权，无论你上次什么文件，都不可能执行到。就算我不做任何检测，你的文件都上存到这里了，也不会对我系统构成安全。（如果有用户上存一些反动言语的图片，那另外需要处理的）
不直接使用服务器传入值，所有都要进行检测
这类跟我们做一切输入都是有害原则一样，对于客户端传入的：type, name ，都要进行判断，不直接使用。对于要生成到某个目录，某个文件名。
文件名最好方法是：自己写死目录（不要读取传入目录），文件名，最好自己随机生成，不读取用户文件名。文件扩展名，可以取最右边”.”后面字符。
以上2个方法，刚好从2个方面对上存做了整体约束。
方法2 ： 保存上存文件名，按照自己指定目录写入，并且文件名自己生成的。
方法1：只要保证文件写对了位置，然后从配置上，对写入目录进行权限控制，这个是治本。可以做到，你无论上存什么文件，都让你没有权限跳出去可以运行。
以上2个方法，一起使用，可以保证文件正确存到地方，然后，权限可以控制。 这里顺便说明下， 判断用户上存文件是否满足要求类型，就直接检查文件扩展名，只要满足扩展名就让上存。 反正，做了执行权限限制，你不按要求上存内容，也无妨。 反正，不能执行，也不会有多大危害性的。
正确步骤：
1.读取文件名，验证扩展名是不是在范围内
2.自己定义生成的文件名，目录，扩展名可以来自文件名扩展名。 其它值，都自己配置，不读取上存中内容
3.将文件 移到新目录(这个目录权限设置只读)
好了，以上是一般操作方法，希望对大家有帮助，也欢迎朋友们交流！也希望提供更好的方法！接下来，我会在web 开发中，常见一些方法功能安全设计方面继续写一些我的心得，看法！
0
0
浅谈web上存漏洞及原理分析、防范方法（安全文件上存方法）_php技巧
php中文网
发布时间：2016-05-17 08:57:57
|1557人浏览过
|来源于php中文网
原创
相关文章
php内存限制怎样修改_php内存限制修改步骤【设置】
kali怎么挖php漏洞_用xsser检测php反射型xss漏洞【技巧】
php怎样生成微信小程序码_php生成小程序码接口调用【步骤】
PHP后门怎么删除_同IP多站点怎样避免交叉感染清理【指南】
如何在上传新头像时自动删除旧头像并优化存储路径
本站声明：本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系admin@php.cn
热门AI工具
相关专题
本专题整理了1688阿里巴巴批发进货平台的最新入口地址与在线采购指南，帮助用户快速找到官方网站入口，了解如何进行批发采购、货源选择以及厂家直销等功能，提升采购效率与平台使用体验。
289
2026.02.06
本专题汇总了快手网页版的最新入口地址和电脑版使用方法，详细提供快手官网直接访问链接、网页端操作教程，以及如何无需下载安装直接观看短视频的方式，帮助用户轻松浏览和观看快手短视频内容。
150
2026.02.06
本专题深入讲解 C# 中多线程与异步编程的核心概念与实战技巧，包括线程池管理、Task 类的使用、async/await 异步编程模式、并发控制与线程同步、死锁与竞态条件的解决方案。通过实际项目，帮助开发者掌握 如何在 C# 中构建高并发、低延迟的异步系统，提升应用性能和响应速度。
11
2026.02.06
本专题系统讲解 Python 微服务架构设计与 FastAPI 框架应用，涵盖 FastAPI 的快速开发、路由与依赖注入、数据模型验证、API 文档自动生成、OAuth2 与 JWT 身份验证、异步支持、部署与扩展等。通过实际案例，帮助学习者掌握 使用 FastAPI 构建高效、可扩展的微服务应用，提高服务响应速度与系统可维护性。
7
2026.02.06
本专题深入讲解 JavaScript 异步编程与事件驱动架构，涵盖 Promise、async/await、事件循环机制、回调函数、任务队列与微任务队列、以及如何设计高效的异步应用架构。通过多个实际示例，帮助开发者掌握 如何处理复杂异步操作，并利用事件驱动设计模式构建高效、响应式应用。
11
2026.02.06
热门下载
相关下载
精品课程
最新文章
