anwsion最新版本任意上传 - 网站安全 - 自学php

上传附件地方没有好好处理文件后缀问题:

 

 

 

 

判断的是文件头没有判断后缀问题。。。。。。。。

 

漏洞 证明：

http://wenda.anwsion.com/uploads/questions/20121126/e826a3e05a4beb6c24373ba014fe39f8.php pass

 

合并图片一句话木马成功~！！！！！

 

http://wenda.anwsion.com/robots.txt 

 

 

修复方案：

判断文件后缀,限制jpg png gif 等后缀其他的后缀 直接随机算法 加密  

查看更多关于anwsion最新版本任意上传 - 网站安全 - 自学php的详细内容...