CN112182583B - 一种基于web应用的文件上传漏洞检测方法及系统 - Google Patents

Abstract

本发明涉及一种基于WEB应用的文件上传漏洞检测方法。该方法包括：步骤1，遍历网站或应用中的文件上传请求并记录所述文件上传请求；步骤2，预先对文件上传漏洞进行全面分析以生成兼容式的漏洞攻击用例列表，以及从所述兼容式的漏洞攻击用例列表中选择与所述文件上传请求相对应的漏洞攻击用例；步骤3，基于所述漏洞攻击用例和所述文件上传请求生成用于检测所述网站或应用的文件上传漏洞的多个攻击载荷；步骤4，上传所述多个攻击载荷至WEB服务器并进行攻击测试，以及根据所述多个攻击载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞。根据上述方法，本发明实现了文件上传漏洞的自动化检测，提高了漏洞检测效率、准确度和全面覆盖程度。

Description

一种基于WEB应用的文件上传漏洞检测方法及系统

技术领域

本发明涉及漏洞检测方法及系统，更具体地，涉及一种基于WEB应用的文件上传漏洞检测方法及系统。

背景技术

目前，大部分的网站和应用都具有文件上传功能。然而，在实现文件上传功能的过程中，如果程序员未对上传的文件进行严格的验证和过滤，就会导致用户可以越过其本身权限向服务器上上传可执行的动态脚本文件。这样的动态脚本文件可以是木马、病毒、恶意脚本或者WebShell等。因此，如果服务器的处理逻辑不能够保证足够的安全，则文件上传功能将会导致非常严重的后果。

通常情况下，程序员在开发任意文件的上传功能时，不会考虑文件扩展名的合法性校验。或者，大部分程序员在开发文件的上传功能时，仅仅在客户端的网站或应用代码中添加了基于JavaScript的文件扩展名检验。这使得恶意用户可以轻易地利用恶意代码动态脚本影响服务器安全。另外，程序员也经常在服务端使用MIME类型的文件中的内容类型字段检测、文件头检测、黑名单检测和白名单检测等多种方法对待上传的文件进行检测，以此来过滤非法文件。

然而，针对上述各种上传文件检测方法，恶意用户也有许多的检测绕过方法。例如，通过修改文件的扩展名、修改文件的内容类型字段、利用WEB服务器解析漏洞等方式绕过检测。

因此，亟需一种全面、便捷、自动化的方法和系统来实现不同操作系统中、不同WEB服务器中文件上传漏洞的全面检测。

发明内容

为解决现有技术中存在的不足，本发明的目的在于，提供一种基于WEB应用的文件上传漏洞检测方法及系统。通过全面分析漏洞(绕过方法)原因，能够通过多种方法对网站上的各种上传请求进行攻击测试，形成全面覆盖的文件上传漏洞检测。

本发明采用如下的技术方案。一种基于WEB应用的文件上传漏洞检测方法，包括：步骤1，遍历网站或应用中的文件上传请求并记录文件上传请求；步骤2，预先对文件上传漏洞进行全面分析以生成兼容式的漏洞攻击用例列表，以及从兼容式的漏洞攻击用例列表中选择与文件上传请求相对应的漏洞攻击用例；步骤3，基于漏洞攻击用例和文件上传请求生成用于检测网站或应用的文件上传漏洞的多个攻击载荷；步骤4，上传多个攻击载荷至WEB服务器并进行攻击测试，以及根据多个攻击载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞。

优选地，步骤1中遍历网站或应用中的文件上传请求并记录文件上传请求还包括：步骤101，加载网站或应用的统一资源定位器的地址；步骤102，对网站或应用进行分析以识别被检测网站或应用所使用的语言；步骤103，遍历网站或应用中的文件上传请求并将文件上传请求一一保存至文件上传请求列表中。

优选地，步骤2中预先对文件上传漏洞进行全面分析以生成兼容式的漏洞攻击用例列表，以及从兼容式的漏洞攻击用例列表中选择与文件上传请求相对应的漏洞攻击用例还包括：预先生成的兼容式的漏洞攻击用例列表适应多于一种系统、语言和中间件，并包含基于多于一种系统、语言和中间件环境的漏洞攻击用例；根据文件上传请求所在的系统、语言和中间件环境，从兼容式的漏洞攻击用例列表中选择出适应系统、语言和中间件的漏洞攻击用例。

优选地，步骤3中基于漏洞攻击用例和文件上传请求生成用于检测网站或应用的文件上传漏洞的多个攻击载荷还包括：步骤301，生成基本上传载荷；步骤302，基于漏洞攻击用例对基本上传载荷进行修改，以形成多个攻击载荷。

优选地，步骤3中基于漏洞攻击用例对基本上传载荷进行修改以形成多个攻击载荷还包括：多个攻击载荷包括客户端验证载荷、内容类型验证载荷、文件头检测载荷和黑名单检测载荷。

优选地，客户端验证载荷的生成方式是修改待上传文件的文件扩展名；内容类型验证载荷的生成方式是修改待上传文件中的内容类型字段。

优选地，使用Burp Suite集成平台对上传文件的文件扩展名或上传文件的内容类型字段进行修改，以生成客户端验证载荷和内容类型验证载荷。

优选地，文件头检测载荷的生成方式是将欺骗式文件头加入基本载荷中；黑名单检测载荷的生成方式是根据黑名单列表修改文件名。

优选地，步骤4中上传多个攻击载荷至WEB服务器并进行攻击测试，以及根据多个攻击载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞还包括：步骤401，上传客户端验证载荷至WEB服务器并进行攻击测试，以及根据客户端验证载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞；步骤402，上传内容类型验证载荷至WEB服务器并进行攻击测试，以及根据内容类型验证载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞；步骤403，上传文件头检测载荷至WEB服务器并进行攻击测试，以及根据文件头检测载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞；步骤404，上传黑名单检测载荷至WEB服务器并进行攻击测试，以及根据黑名单检测载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞。

优选地，步骤4中，上传多个攻击载荷至WEB服务器并进行攻击测试，以及根据多个攻击载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞还包括：上传多个攻击载荷中的一个至WEB服务器并进行攻击测试；解析文件上传是否成功并返回上传情况信息；若上传情况信息为上传成功，则返回对应于多个攻击载荷中的一个的该类型的文件上传漏洞存在确认并上传多个攻击载荷中的另外一个至WEB服务器并进行攻击测试；若上传情况信息为上传失败，则上传多个攻击载荷中的另外一个至WEB服务器并进行攻击测试，重复上述步骤直至完成所有攻击载荷的上传；若所有攻击载荷的上传情况信息均为失败，则返回未发现文件上传漏洞的确认。

优选地，步骤4中生成用于检测网站或应用的文件上传漏洞的黑名单载荷还包括：针对WEB服务器解析漏洞的攻击载荷。

优选地，针对WEB服务器解析漏洞的攻击载荷还包括针对IIS解析漏洞的攻击载荷、针对Apache解析漏洞的攻击载荷、针对nginx解析漏洞的攻击载荷。

一种基于WEB应用的文件上传漏洞检测系统，包括分析模块、生成模块和检测模块，其中，分析模块，用于遍历网站或应用中的文件上传请求并记录文件上传请求；选择模块，预先对文件上传漏洞进行全面分析以生成兼容式的漏洞攻击用例列表，以及从兼容式的漏洞攻击用例列表中选择与文件上传请求相对应的漏洞攻击用例；生成模块，用于基于漏洞攻击用例和文件生产请求生成用于检测网站或应用的文件上传漏洞的多个攻击载荷；漏洞检测模块，用于上传多个攻击载荷至WEB服务器并进行攻击测试，以及根据多个攻击载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞。

优选地，分析模块还包括加载单元、测试单元和记录单元，其中，加载单元，用于加载网站或应用的统一资源定位器的地址；检测单元，用于对网站或应用进行分析以识别被检测网站或应用所使用的语言；记录单元，用于遍历网站或应用中的文件上传请求并将文件上传请求一一保存至文件上传请求列表中。

选择模块还包括生成单元和选择单元，其中，生成单元，用于预先生成兼容式的漏洞攻击用例列表，列表适应多于一种系统、语言和中间件，并包含基于多于一种系统、语言和中间件环境的漏洞攻击用例；选择单元，用于根据文件上传请求所在的系统、语言和中间件环境，从兼容式的漏洞攻击用例列表中选择出适应系统、语言和中间件的漏洞攻击用例。

优选地，生成模块还包括基本单元和修改单元，其中，基本单元，用于生成基本上传载荷；修改单元，用于漏洞攻击用例对基本上传载荷进行修改，以形成多个攻击载荷。

优选地，漏洞检测模块还包括上传单元、解析单元和结果返回单元，其中，上传单元，用于上传多个攻击载荷中的一个至WEB服务器并进行攻击测试；解析单元，用于解析文件上传是否成功并返回上传情况信息；结果返回单元，用于对上传情况信息进行分情况判断，并返回上传结果。

优选地，结果返回单元用于对上传情况信息进行分情况判断并返回上传结果还包括：若多个攻击载荷中的一个的上传情况信息为上传成功，则返回对应于多个攻击载荷中的一个的该类型的文件上传漏洞存在确认并上传多个攻击载荷中的另外一个至WEB服务器并进行攻击测试；若多个攻击载荷中的一个的上传情况信息为上传失败，则返回上传单元以使上传单元上传多个攻击载荷中的另外一个至WEB服务器并进行攻击测试，重复上述步骤直至完成所有攻击载荷的上传；若所有攻击载荷的上传情况信息均为失败，则返回未发现文件上传漏洞的确认。

本发明的有益效果在于，与现有技术相比，本发明提供了一种基于web应用的文件上传漏洞检测方法及系统，通过全面分析文件上传漏洞产生的原因，生成全面覆盖各种文件上传漏洞的检测用攻击载荷，并响应于网站或应用中的所有上传请求，通过上传检测用攻击载荷来进行文件上传漏洞的攻击测试，从而实现了文件上传漏洞检测的自动化，并且提高了漏洞检测效率、提高漏洞检测的准确度和全面覆盖程度。

本发明的有益效果还包括：

1、本发明中的漏洞检测方法及系统能够实现一次检测就可以对网站或应用的客户端漏洞、WEB服务器漏洞、服务端黑白名单漏洞等多种文件上传漏洞进行检测，从而实现高效率、更便捷的漏洞检测。

2、本发明中的漏洞检测方法及系统能够兼容多种不同的WEB服务器，如当前常用的IIS、Apache和nginx，实现对多种不同WEB服务器解析漏洞的检测；同时本发明也可以通过生成具备多种检测方式的攻击载荷来利用不同的漏洞绕过方式对服务器黑白名单漏洞进行检测，从而为文件上传提供更加准确和全面的漏洞检测。

附图说明

图1是本公开中一种基于WEB应用的文件上传漏洞检测方法的流程图；

图2是本公开中一种基于WEB应用的文件上传漏洞检测方法中步骤1的流程图；

图3是本公开中一种基于WEB应用的文件上传漏洞检测方法中步骤3的流程图；

图4是本公开中一种基于WEB应用的文件上传漏洞检测方法中步骤4的流程图；

图5是本公开中一种基于WEB应用的文件上传漏洞检测方法中返回漏洞存在确认的流程图；

图6是本公开中一种基于WEB应用的文件上传漏洞检测系统的系统结构图。

具体实施方式

下面结合附图对本申请作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本申请的保护范围。

图1是本公开中一种基于WEB应用的文件上传漏洞检测方法的流程图。如图1所示，一种基于WEB应用的文件上传漏洞检测方法，具体包括以下步骤。

步骤1，遍历网站或应用中的文件上传请求并记录文件上传请求。

对网站或应用中的文件上传请求进行遍历，可以获知所有的文件上传请求，并根据文件上传请求生成有效的攻击载荷用于对文件上传漏洞进行检测。

优选的，图2是本公开中一种基于WEB应用的文件上传漏洞检测方法中步骤1的流程图。如图2所示，步骤1还具体包括步骤101，加载网站或应用的统一资源定位器的地址；步骤102，对网站或应用进行分析以识别被检测网站或应用所使用的系统、语言和中间件；步骤103，遍历网站或应用中的文件上传请求并将文件上传请求一一保存至文件上传请求列表中。

具体的，网站或应用的统一资源定位器的地址即网站或应用接入的URL(UniformResource Locator)地址，即因特网的万维网服务程序上用于指定信息位置的表示方法。加载网站或应用的统一资源定位器的地址后就可对网站或应用所使用的编程语言进行分析和识别了。确定网站或应用所使用的编程语言可以帮助本发明中的漏洞检测系统生成对应于该语言的攻击载荷。通常来说，使用不同语言的网站或应用根据所使用语言的特性而具有相对不同的文件上传漏洞。因此，根据语言生成攻击载荷，可以更高效地检测出文件上传漏洞。

完成文件上传请求的遍历后，系统可以自动生成文件上传请求列表，并将所有遍历到的文件上传请求记录于列表当中。

步骤2，预先对文件上传漏洞进行全面分析以生成兼容式的漏洞攻击用例列表，以及从兼容式的漏洞攻击用例列表中选择与文件上传请求相对应的漏洞攻击用例.

优选地，预先生成的兼容式的漏洞攻击用例列表适应多于一种系统、语言和中间件，并包含基于多于一种系统、语言和中间件环境的漏洞攻击用例；根据文件上传请求所在的系统、语言和中间件环境，从兼容式的漏洞攻击用例列表中选择出适应所述系统、语言和中间件的漏洞攻击用例。

为了使得本发明中的方法能够适用于多种不同的操作系统，以及语言和中间件的环境，本发明针对现有技术中通用的一些语言、系统和中间件环境进行了预先分析，并获得了不同环境下，文件上传漏洞的产生原因。因此，根据上述原因，本发明预先生成了兼容式的漏洞攻击用例列表。这样，当识别到新的文件上传请求时即可根据该请求从兼容式的列表中选择符合该请求的一些攻击用例。

步骤3，基于漏洞攻击用例和文件上传请求生成用于检测网站或应用的文件上传漏洞的多个攻击载荷。

优选的，步骤3还具体包括生成基本上传载荷；基于漏洞攻击用例对基本上传载荷进行修改，以形成多个攻击载荷。

该基本上传载荷作为用于上传的文件的主题内容包含了一定的数据量。当识别到被检测网站或应用所使用的语言后，就可以从兼容式漏洞攻击用例列表中选择相应的攻击用例，根据相应的攻击用例，系统就可以对上述基本上传载荷进行修改。例如，可以将基本上传载荷进行分装，生成可运行的多个攻击载荷。

优选的，图3是本公开中一种基于WEB应用的文件上传漏洞检测方法中步骤3的流程图。如图3所示，步骤3中基于漏洞攻击用例对基本上传载荷进行修改以形成多个攻击载荷还包括：根据网站或应用的文件上传漏洞类型分别生成多个攻击载荷，多个攻击载荷包括客户端验证载荷、内容类型验证载荷、文件头检测载荷和黑名单检测载荷。

具体的，不同种攻击载荷用于对不同种类的文件上传漏洞进行攻击测试。

首先，客户端验证载荷用于对客户端上的漏洞进行检测。通常来说，即便是最简单的Web应用系统也会在客户端上对用户上传的文件进行校验。该校验通常是通过客户端的JS代码(JavaScript，一种具有函数优先的轻量级,解释型或即时编译型的高级编程语言，作为WEB页面开发的脚本语言被广泛应用)实现的。本发明一实施例中，可以在网站或应用的文件上传页面中添加专门用于文件上传检测的JS代码，该代码可用于检测待上传文件的扩展名是否合法。

然而，由于恶意用户可以对客户端的JS代码进行修改，或者是通过抓包软件篡改用户正常上传的文件，这就会导致基于客户端JS代码的校验很容易被绕过。通常来说，绕过客户端JS代码的方式有两种：一种是通过删除或禁用JS代码来绕过上传文件校验；另一种是通过使用代理来上传文件，例如，通过使用Burp Suite集成平台。本发明一个实施例中，可以使用Burp Suite集成平台来修改待上传文件的文件扩展名。例如，当恶意用户希望上传非法文件时，可将文件的扩展名修改成常用的文件格式*.JPG、*.PNG、*.GIF，此时，客户端就可以将该非法文件识别成普通的图片而执行上传功能。

因此，为了检测客户端上的上传漏洞，可以利用上述方法来将待上传文件的文件类型修改为客户端允许上传的常用文件类型。

优选的，客户端验证载荷的生成方式是修改待上传文件的文件扩展名。

优选的，使用Burp Suite集成平台对上传文件的文件扩展名进行修改，以生成客户端验证载荷。

其次，内容类型验证载荷用于对服务端上MIME类型(Multipurpose InternetMail Extensions，多用途互联网邮件扩展类型)的漏洞进行检测。MIME类型在HTTP协议中进行了具体的定义，可以用于标识文档、文件或字节流的性质和格式。MIME类型用于设定某种扩展名的文件是通过使用哪一种应用程序来打开的方式类型，当该扩展名文件被访问的时候，浏览器会自动使用指定应用程序来打开。通常，服务器通过MIME告知响应内容类型，而浏览器则通过MIME类型来确定如何处理文档。表1是MIME类型中的一级分类类型表。如表1所示，MIME类型包括文本、图像、音频、视频、应用数据、符合内容等几大类。

表1 MIME类型中的一级分类类型表

一级类型	描述
		Text	普通文本
Image	某种图像
		Audio	某种音频文件
Video	某种视频文件
		Application	应用数据
Multi-part	复合内容

表2是MIME类型中的常用的二级分类类型表。如表2所示，MIME类型的二级类型还包括常用的一些图片格式、多媒体文件等。

表2 MIME类型中的常用的二级分类类型表

服务端MIME类型的文件上传的检测方式通常为检测文件中的Content-Type，即内容类型字段。绕过MIME检测的方法很常见。由于大部分Web应用系统是通过Content-Ttype字段来判定文件类型的。因此，恶意用户可以通过抓包的方式，获取上传中的文件内容，并将文件中Content-Ttype字段改为MIME类型中常见的文件类型，即MIME类型中允许的字段，如图片格式Content-Type:image/gif；Content-Type:image/png；Content-Type:image/jpeg等，从而绕过服务端对待上传文件的校验过程。

优选的，内容类型验证载荷的生成方式是修改待上传文件中的内容类型字段。

优选的，使用Burp Suite集成平台对上传文件内容类型字段进行修改，以生成内容类型验证载荷。

再次，Web应用程序在校验文件类型、文件扩展名的同时，也会校验文件头，从而进一步确定文件的类型。而文件头检测载荷则用于对文件头类型的检测漏洞进行检测。文件头可以用于描述一个文件的重要的属性，比如一个图片文件中图片的长度、宽度、像素尺寸等就会被记录在图片文件的文件头中。当应用程序打开该文件时，会读取这些属性并对文件进行处理。文件签名一般情况下也会存储在文件头中。因此，当使用十六进制方式查看文件时，也可以查看到文件的签名信息。例如Zip格式文件的文件头中包括50 4B 03 04这样的十六进制信息；Jpg格式文件的文件头中包括FF D8 FF E0 xx xx 4A 46这样的十六进制信息；Png格式文件的文件头中包括89 50 4E 47 0D 0A 1A 0A这样的十六进制信息；Gif格式文件的文件头中包括47 49 46 38 39 61这样的十六进制信息。

针对文件头类型的检测，恶意用户通常会通过在上传的一句话木马文件的开头加入特定的文件头内容，使得服务端在对文件头检测时检测不出待上传文件的异常，从而使该木马文件绕过同文件类型的检测方式。因此，为了执行对头文件类型检测漏洞的检测，生成此类型攻击载荷的方式通常有两种。一种是通过16进制编辑器在攻击载荷文件的头部添加头文件，例如GIF89a等。另一种是通过将正常的图片文件添加到PHP木马文件前面，并利用命令行执行拷贝操作。上述两种生成方式的实质相同，都是为攻击载荷提供欺骗式的文件头，从而绕过文件头类型的文件上传漏洞检测。

优选的，本公开一实施例中文件头检测载荷的生成方式为：将欺骗式文件头加入所述基本载荷中。

最后，黑名单检测载荷用于对服务端中的黑名单检测漏洞进行检测。目前，利用黑名单的思想来防御文件上传漏洞是一种很常见的做法，其通过专门的黑名单文件，通常被命名为Blacklist文件，来对恶意代码进行检测。在Blacklist文件中，通常包含有常见的一些危险的脚本文件。当恶意用户通过网站或应用来上传非法文件时，Blacklist文件会对这些非法文件进行判断，判断其是否在Blacklist文件中存在记录，若存在记录则非法文件会被判定为不允许上传的文件类型，从而保证服务器的安全。

然而，黑名单文件很难把所有可能引发漏洞的威胁给过滤掉，且由于其本质属性黑名单的安全性也低于白名单，因此黑名单检测过程中通常存在一些问题，绕过黑名单检测的方法也很多。

具体的，绕过黑名单的检测的方法包括截断绕过、文件名大小写绕过、黑名单列表绕过、Windows命名机制绕过、竞争条件上传绕过以及解析漏洞绕过等。

截断绕过是通过组合逻辑漏洞实现的。通常，在许多语言的函数中，比如在C、PHP等语言的常用字符串处理函数中，0x00被认为是终止符。受此语言环境影响的还包括一些Web应用和服务器。因此，当恶意用户手动修改了上传过程中的发送数据包时，通过在文件名后添加一个％00的额外字节的方式来截断某些函数对文件名的判断。例如，某WEB应用中原本只允许上传JPG格式的图片内容，而恶意用户希望上传其他文件，则可以将文件名构造为.php[\0].JPG，其中[\0]可被识别为十六进制的0x00字符。对于WEB应用来说，上述文件被识别为.JPG从而绕过了WEB应用对上传文件类型的判断。但对于服务端来说，此文件因为0x00字符截断的关系，最终却变成了具备木马功能的xxx.php恶意文件。

文件名大小写绕过是对一些非法文件的扩展名进行大小写混合处理。通常，黑名单文件中只会对一些小写的文件扩展名进行识别，此时如果能够将扩展名进行大小写混合处理则可以成功绕过黑名单将非法文件上传。例如，用像AsP、pHp之类的修改后的文件名称绕过黑名单检测。

黑名单列表绕过是指将文件扩展名修改为黑名单中没有的扩展名对黑名单进行绕过。例如，若黑名单中不包括.asa或.cer文件，则可以将文件扩展名修改为上述类型的文件从而绕过黑名单检测。另外，在Apache服务器中，自定义的.heaccess文件也可以绕过黑名单。

Windows命名机制绕过是通过某种Windows系统中不被允许的命名方式来绕过黑名单。在Windows操作系统的环境中，对于不允许的命名方式，例如在文件扩展名test.asp后增加.或空格，Windows操作系统去掉扩展名后的.或空格。此时，这种不被Windows操作系统允许的命名方式就可以绕过黑名单的检测。该绕过方法仅限于在Windows的环境中使用，Unix/Linux系统没有这个特性。

利用竞争条件上传绕过是指在上传文件和对上传文件进行安全检查的间隔时间内，恶意用户不断的发起访问请求访问待上传的文件。因此，进行文件上传漏洞检测时，也可以利用相同的方式在新建一个包含木马的文件，在上传该文件时不断通过发送http请求，请求该文件。

除了上述绕过方式之外，还可以通过对解析漏洞绕过的方式来绕过黑名单。通常，不同的WEB服务器具有不同的解析漏洞。本文中选取IIS(Internet InformationServices，互联网信息服务)、Apache(阿帕奇)和nginx(Engine X)三种WEB服务器来说明其各自的解析漏洞。

首先，在IIS中解析漏洞包括目录解析、特殊文件名解析、默认解析。绕过目录解析是指，当将文件夹以类似于文件扩展名的方式命名时，该文件夹会被IIS解析成一个普通文件。例如，以*.asp命名的文件夹里的所有文件都将会被当成ASP文件进行执行。特殊文件名解析是指，当存在类似于*.asp；.jpg这样的畸形文件名时，其前半部分的文件名是正常的，则；以及；后面的文件名称都会被默认忽略。此时，该文件的文件名被解析成*.asp。默认解析是指，在IIS中，以.asp、.aspx、.ashx、.asa和.cer作为扩展名的文件会被认为是系统默认的文件，即无需检查其安全可靠性。因此可以利用上述解析漏洞来绕过使用IIS的WEB服务器的解析漏洞。

其次，在Apache中解析漏洞为Apache是以从右向左的方式来对文件名进行解析的。例如，当文件名为*.php.rar时，Apache会先识别该文件名中的.rar部分，若Apache无法解析.rar文件，则会继续识别该文件名中的.php部分。因此，在该例中，名为*.php.rar的文件在Apache系统中会被解析为*.php。

再次，在nginx中解析漏洞为在nginx中开启*.cgi文件，即公共网关接口(CommonGateway Interface)文件时，会在nginx的配置文件中添加配置代码SCRIPT_NAMEFASTCGI。该配置能够使得在浏览器中访问.php文件时，实际读取该网站的对应根目录下存储的.php文件。因此，nginx会将例如www.xx.com/a.jpg/.php目录下的任何不存在的文件解析为.php文件，也可以将文件名为a.jpg:<？php phpinfo()；？>或a.php％00.jpg的文件解析为a.php。

如上述内容中所示，黑名单的检测漏洞较多，且绕过黑名单进行漏洞攻击方式也较多。因此，为了对黑名单进行进一步完善，可以采用生成攻击载荷的方式对黑名单检测漏洞进行模拟攻击。

本公开实施例中，黑名单检测载荷的生成方式为：根据黑名单列表修改文件名。

步骤4，上传多个攻击载荷至WEB服务器并进行攻击测试，以及根据多个攻击载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞。

优选的，图4是本公开中一种基于WEB应用的文件上传漏洞检测方法中步骤4的流程图。如图4所示，步骤4具体还包括步骤401至步骤404。步骤401，上传客户端验证载荷至WEB服务器并进行攻击测试，以及根据客户端验证载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞；步骤402，上传内容类型验证载荷至WEB服务器并进行攻击测试，以及根据内容类型验证载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞；步骤403，上传文件头检测载荷至WEB服务器并进行攻击测试，以及根据文件头检测载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞；步骤404，上传黑名单检测载荷至WEB服务器并进行攻击测试，以及根据黑名单检测载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞。

具体的，本发明中，会针对文件上传请求生成多种攻击载荷，并依次使用客户端验证载荷、内容类型验证载荷、文件头检测载荷、黑名单检测载荷分别对WEB服务器进行攻击测试和文件上传漏洞分析。

优选的，图5是本公开中一种基于WEB应用的文件上传漏洞检测方法中返回漏洞存在确认的流程图。如图5所示，步骤4中上传多个攻击载荷至WEB服务器并进行攻击测试，以及根据多个攻击载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞还包括：基于文件上传请求，上传多个攻击载荷中的一个至WEB服务器并进行攻击测试；解析文件上传是否成功并返回上传情况信息；若上传情况信息为上传成功，则返回对应于多个攻击载荷中的一个的该类型的文件上传漏洞存在确认并上传多个攻击载荷中的另外一个至WEB服务器并进行攻击测试；若上传情况信息为上传失败，则上传多个攻击载荷中的另外一个至WEB服务器并进行攻击测试，重复上述步骤直至完成所有攻击载荷的上传；若所有攻击载荷的上传情况信息均为失败，则返回未发现文件上传漏洞的确认。

对应于本发明中的一种基于WEB应用的文件上传漏洞检测方法，本发明还公开了一种基于WEB应用的文件上传漏洞检测系统。

图6是本公开中一种基于WEB应用的文件上传漏洞检测系统的系统结构图。如图6所示，一种基于WEB应用的文件上传漏洞检测系统100，包括分析模块101、选择模块102、生成模块103和检测模块104。其中，

分析模块101，用于遍历网站或应用中的文件上传请求并记录文件上传请求。

优选的，分析模块101还包括加载单元、测试单元和记录单元。加载单元，用于加载网站或应用的统一资源定位器的地址；检测单元，用于对网站或应用进行分析以识别被检测网站或应用所使用的语言；记录单元，用于遍历网站或应用中的文件上传请求并将文件上传请求一一保存至文件上传请求列表中。

选择模块102，预先对文件上传漏洞进行全面分析以生成兼容式的漏洞攻击用例列表，以及从所述兼容式的漏洞攻击用例列表中选择与文件上传请求相对应的漏洞攻击用例。

优选地，选择模块102还包括生成单元和选择单元。生成单元，用于预先生成兼容式的漏洞攻击用例列表，列表适应多于一种系统、语言和中间件，并包含基于多于一种系统、语言和中间件环境的漏洞攻击用例；选择单元，用于根据文件上传请求所在的系统、语言和中间件环境，从兼容式的漏洞攻击用例列表中选择出适应系统、语言和中间件的漏洞攻击用例。

生成模块103，用于基于漏洞攻击用例和文件生产请求生成用于检测网站或应用的文件上传漏洞的多个攻击载荷。

优选的，生成模块103还包括基本单元和修改单元。基本单元，用于生成基本上传载荷；修改单元，用于基于漏洞攻击用例对基本上传载荷进行修改，以形成多个攻击载荷。

漏洞检测模块104，用于上传多个攻击载荷至WEB服务器并进行攻击测试，以及根据多个攻击载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞。

优选的，漏洞检测模块104还包括上传单元、解析单元和结果返回单元。上传单元，用于基于文件上传请求上传多个攻击载荷中的一个至WEB服务器并进行攻击测试；解析单元，用于解析文件上传是否成功并返回上传情况信息；结果返回单元，用于对上传情况信息进行分情况判断，并返回上传结果。

具体的，结果返回单元对上传情况信息进行分情况判断的方法为：若多个攻击载荷中的一个的上传情况信息为上传成功，则返回对应于多个攻击载荷中的一个的该类型的文件上传漏洞存在确认并上传多个攻击载荷中的另外一个至WEB服务器并进行攻击测试；若多个攻击载荷中的一个的上传情况信息为上传失败，则返回上传单元以使上传单元上传多个攻击载荷中的另外一个至WEB服务器并进行攻击测试，重复上述步骤直至完成所有攻击载荷的上传；若所有攻击载荷的上传情况信息均为失败，则返回未发现文件上传漏洞的确认。

关于文件上传漏洞检测系统的具体实现已经在本说明书中文件上传漏洞检测方法部分中进行了详细描述，因此不再此处赘述。

本发明的有益效果在于，与现有技术相比，本发明提供了一种基于web应用的文件上传漏洞检测方法及系统，通过全面分析文件上传漏洞产生的原因，生成全面覆盖各种文件上传漏洞的检测用攻击载荷，并响应于网站或应用中的所有上传请求，通过上传检测用攻击载荷来进行文件上传漏洞的攻击测试，从而实现了文件上传漏洞检测的自动化，并且提高了漏洞检测效率、提高漏洞检测的准确度和全面覆盖程度。

本发明的有益效果还包括：

1、本发明中的漏洞检测方法及系统能够实现一次检测就可以对网站或应用的客户端漏洞、WEB服务器漏洞、服务端黑白名单漏洞等多种文件上传漏洞进行检测，从而实现高效率、更便捷的漏洞检测。

2、本发明中的漏洞检测方法及系统能够兼容多种不同的WEB服务器，如当前常用的IIS、Apache和nginx，实现对多种不同WEB服务器解析漏洞的检测；同时本发明也可以通过生成具备多种检测方式的攻击载荷来利用不同的漏洞绕过方式对服务器黑白名单漏洞进行检测，从而为文件上传提供更加准确和全面的漏洞检测。

本发明申请人结合说明书附图对本发明的实施示例做了详细的说明与描述，但是本领域技术人员应该理解，以上实施示例仅为本发明的优选实施方案，详尽的说明只是为了帮助读者更好地理解本发明精神，而并非对本发明保护范围的限制，相反，任何基于本发明的发明精神所作的任何改进或修饰都应当落在本发明的保护范围之内。

Claims (18)

1.一种基于WEB应用的文件上传漏洞检测方法，其特征在于，包括以下步骤：

步骤1，遍历网站或应用中的文件上传请求并记录所述文件上传请求；

步骤2，预先对文件上传漏洞进行全面分析以生成兼容式的漏洞攻击用例列表，以及从所述兼容式的漏洞攻击用例列表中选择与所述文件上传请求相对应的漏洞攻击用例；

步骤3，基于所述漏洞攻击用例和所述文件上传请求生成用于检测所述网站或应用的文件上传漏洞的多个攻击载荷；

步骤4，上传所述多个攻击载荷至WEB服务器并进行攻击测试，以及根据所述多个攻击载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞。

2.根据权利要求1所述的一种基于WEB应用的文件上传漏洞检测方法，其特征在于：

步骤1具体包括：

步骤101，加载所述网站或应用的统一资源定位器的地址；

步骤102，对所述网站或应用进行分析以识别被检测网站或应用所使用的系统、语言和中间件；

步骤103，遍历所述网站或应用中的文件上传请求并将所述文件上传请求一一保存至文件上传请求列表中。

3.根据权利要求2所述的一种基于WEB应用的文件上传漏洞检测方法，其特征在于：

步骤2包括：

预先生成的所述兼容式的漏洞攻击用例列表适应多于一种系统、语言和中间件，并包含基于多于一种系统、语言和中间件环境的漏洞攻击用例；

根据所述文件上传请求所在的系统、语言和中间件环境，从所述兼容式的漏洞攻击用例列表中选择出适应所述系统、语言和中间件的漏洞攻击用例。

4.根据权利要求3所述的一种基于WEB应用的文件上传漏洞检测方法，其特征在于：

步骤3具体包括：

步骤301，生成基本上传载荷；

步骤302，基于所述漏洞攻击用例对所述基本上传载荷进行修改，以形成所述多个攻击载荷。

5.根据权利要求4所述的一种基于WEB应用的文件上传漏洞检测方法，其特征在于：

步骤3还包括：

所述多个攻击载荷包括客户端验证载荷、内容类型验证载荷、文件头检测载荷和黑名单检测载荷。

6.根据权利要求5所述的一种基于WEB应用的文件上传漏洞检测方法，其特征在于：

所述客户端验证载荷的生成方式是修改待上传文件的文件扩展名；

所述内容类型验证载荷的生成方式是修改待上传文件中的内容类型字段。

7.根据权利要求6所述的一种基于WEB应用的文件上传漏洞检测方法，其特征在于：

使用Burp Suite集成平台对上传文件的文件扩展名或上传文件的内容类型字段进行修改，以生成客户端验证载荷和内容类型验证载荷。

8.根据权利要求5所述的一种基于WEB应用的文件上传漏洞检测方法，其特征在于：

所述文件头检测载荷的生成方式是将欺骗式文件头加入所述基本载荷中；

所述黑名单检测载荷的生成方式是根据黑名单列表修改待上传文件的文件名。

9.根据权利要求4所述的一种基于WEB应用的文件上传漏洞检测方法，其特征在于，步骤4具体包括：

步骤401，上传客户端验证载荷至WEB服务器并进行攻击测试，以及根据所述客户端验证载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞；

步骤402，上传内容类型验证载荷至WEB服务器并进行攻击测试，以及根据所述内容类型验证载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞；

步骤403，上传所述文件头检测载荷至WEB服务器并进行攻击测试，以及根据所述文件头检测载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞；

步骤404，上传黑名单检测载荷至WEB服务器并进行攻击测试，以及根据所述黑名单检测载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞。

10.根据权利要求4所述的一种基于WEB应用的文件上传漏洞检测方法，其特征在于：

步骤4还包括：

上传所述多个攻击载荷中的一个至WEB服务器并进行攻击测试；

解析文件上传是否成功并返回上传情况信息；

若上传情况信息为上传成功，则返回对应于所述多个攻击载荷中的一个的该类型的文件上传漏洞存在确认并上传所述多个攻击载荷中的另外一个至WEB服务器并进行攻击测试；

若上传情况信息为上传失败，则上传所述多个攻击载荷中的另外一个至WEB服务器并进行攻击测试，重复上述步骤直至完成所有攻击载荷的上传；

若所有攻击载荷的上传情况信息均为失败，则返回未发现文件上传漏洞的确认。

11.根据权利要求4所述的一种基于WEB应用的文件上传漏洞检测方法，其特征在于：

步骤4中，所述生成用于检测所述网站或应用的文件上传漏洞的黑名单载荷还包括：

针对WEB服务器解析漏洞的攻击载荷。

12.根据权利要求11所述的一种基于WEB应用的文件上传漏洞检测方法，其特征在于：

所述针对WEB服务器解析漏洞的攻击载荷还包括针对IIS解析漏洞的攻击载荷、针对Apache解析漏洞的攻击载荷、针对nginx解析漏洞的攻击载荷。

13.一种基于权利要求1-12中任一项所述的基于WEB应用的文件上传漏洞检测方法的文件上传漏洞检测系统，包括分析模块、选择模块、生成模块和检测模块，其特征在于：

所述分析模块，用于遍历网站或应用中的文件上传请求并记录所述文件上传请求；

所述选择模块，预先对文件上传漏洞进行全面分析以生成兼容式的漏洞攻击用例列表，以及从所述兼容式的漏洞攻击用例列表中选择与所述文件上传请求相对应的漏洞攻击用例；

所述生成模块，用于基于所述漏洞攻击用例和所述文件生产请求生成用于检测所述网站或应用的文件上传漏洞的多个攻击载荷；

所述漏洞检测模块，用于上传所述多个攻击载荷至WEB服务器并进行攻击测试，以及根据所述多个攻击载荷的上传情况信息确定WEB服务器中是否存在文件上传漏洞。

14.根据权利要求13所述的一种基于WEB应用的文件上传漏洞检测系统，其特征在于：

所述分析模块还包括加载单元、测试单元和记录单元，其中，

所述加载单元，用于加载所述网站或应用的统一资源定位器的地址；

所述检测单元，用于对所述网站或应用进行分析以识别被检测网站或应用所使用的语言；

所述记录单元，用于遍历所述网站或应用中的文件上传请求并将所述文件上传请求一一保存至文件上传请求列表中。

15.根据权利要求13所述的一种基于WEB应用的文件上传漏洞检测系统，其特征在于：

所述选择模块还包括生成单元和选择单元，其中，

所述生成单元，用于预先生成所述兼容式的漏洞攻击用例列表，所述列表适应多于一种系统、语言和中间件，并包含基于多于一种系统、语言和中间件环境的漏洞攻击用例；

所述选择单元，用于根据所述文件上传请求所在的系统、语言和中间件环境，从所述兼容式的漏洞攻击用例列表中选择出适应所述系统、语言和中间件的漏洞攻击用例。

16.根据权利要求13所述的一种基于WEB应用的文件上传漏洞检测系统，其特征在于：

所述生成模块还包括基本单元和修改单元，其中，

所述基本单元，用于生成基本上传载荷；

所述修改单元，用于所述漏洞攻击用例对所述基本上传载荷进行修改，以形成所述多个攻击载荷。

17.根据权利要求13所述的一种基于WEB应用的文件上传漏洞检测系统，其特征在于：

所述漏洞检测模块还包括上传单元、解析单元和结果返回单元，其中，

所述上传单元，用于上传所述多个攻击载荷中的一个至WEB服务器并进行攻击测试；

所述解析单元，用于解析文件上传是否成功并返回上传情况信息；

所述结果返回单元，用于对上传情况信息进行分情况判断，并返回上传结果。

18.根据权利要求17所述的一种基于WEB应用的文件上传漏洞检测系统，其特征在于，所述结果返回单元用于对上传情况信息进行分情况判断并返回上传结果还包括：

若多个攻击载荷中的一个的上传情况信息为上传成功，则返回对应于所述多个攻击载荷中的一个的该类型的文件上传漏洞存在确认并上传所述多个攻击载荷中的另外一个至WEB服务器并进行攻击测试；

若多个攻击载荷中的一个的上传情况信息为上传失败，则返回所述上传单元以使所述上传单元上传所述多个攻击载荷中的另外一个至WEB服务器并进行攻击测试，重复上述步骤直至完成所有攻击载荷的上传；

若所有攻击载荷的上传情况信息均为失败，则返回未发现文件上传漏洞的确认。

Images