第30节课作业(upload-labs靶场漏洞)+17674

1.实操课程内文件上传靶场案例
答:  
2.文件上传的防御方式有哪些?
答:1).权限设置:只给上传的文件读和写的权限而不让其具备执行的权限.
    2).解码还原:上传的文件或图片将其转换为字节流且固定成某一格式来进行解析.
    3).严格的文件类型验证:单纯检查扩展名不可靠，黑客可以轻易伪造。 我们需要结合MIME类型检查。 这需要服务器端代码仔细比对上传文件的MIME类型是否与声明的类型一致。
    4).限制上传的文件大小: 设置合理的上传文件大小限制，能有效防止攻击者上传过大的文件，占用服务器资源，导致拒绝服务攻击（DoS）。 这个限制值需要根据服务器的配置和实际情况进行调整太小了会影响用户体验，太大则增加了安      全风险.
    5).内容安全扫描:对于一些关键的上传文件，例如文档或代码，可以集成安全扫描工具，检查文件是否包含恶意代码。 这需要选择合适的安全扫描引擎，并定期更新其病毒库，以确保其有效性。 这部分成本较高，但对于安全性要求高的 应用至关重要
    6).白名单机制:只允许上传指定类型的文件，拒绝所有不在白名单中的文件。 这比黑名单机制更安全，因为黑名单很难做到完全覆盖所有恶意文件类型。 这需要仔细规划允许上传的文件类型，并定期审查
    7).沙盒环境:对于一些不可靠的上传文件，可以在沙盒环境中运行，隔离其对服务器的影响。 如果文件在沙盒环境中运行正常，再将其移动到正式环境。 这需要一定的技术能力，但可以极大地降低安全风险。