web-security-advanced-web-play…

# 任意文件上传漏洞检测报告（示例案例）

一、检测发现

接口：POST /upload/avatar.do（对应 FileUploadServlet.java）

漏洞：存在任意文件上传，可上传 JSP WebShell 获取服务器权限。

问题代码（简化）：

```java

String fileName = request.getParameter("filename");

String savePath = getServletContext().getRealPath("/upload") + "/" + fileName;

FileOutputStream fos = new FileOutputStream(savePath);

// 未校验扩展名、未校验路径、直接写入

```

漏洞点：

1. 扩展名未白名单校验，可上传 .jsp

2. fileName 未过滤 ../，存在目录穿越

3. 上传目录 /webapps/ROOT/upload 具有脚本执行权限

验证 PoC：

```

POST /upload/avatar.do

filename=../../shell.jsp

Content: <%@ page import="java.io.*" %> ...（WebShell）

```

访问 http://xxx/shell.jsp 返回执行结果，确认 RCE。

二、风险评级

高危（CVSS 9.8）——Tomcat 9 以 root 运行加剧影响，可导致整台云服务器沦陷。

三、修复方案

1. 白名单校验扩展名：

```java

Set<String> allow = Set.of("jpg","png","gif","pdf");

String ext = FilenameUtils.getExtension(fileName).toLowerCase();

if (!allow.contains(ext)) throw new SecurityException("非法文件类型");

```

2. 文件名服务端重写：String safeName = UUID.randomUUID() + "." + ext;

3. 禁止路径穿越：if (fileName.contains("..") || fileName.contains("/")) 拒绝;

4. 上传目录移出 Web 根：改为 /data/upload，通过单独的只读 Servlet 提供下载；或在 Tomcat web.xml 中对 /upload/* 配置禁止 JSP 执行（DefaultServlet readonly=true，移除 JspMapping）。

5. 内容校验：读取文件魔数（如图片 0xFFD8/0x89504E47），拒绝伪装文件。

6. 限制大小：maxFileSize=5MB（multipart-config）。

四、Tomcat 层加固

• 上传目录对应 context 配置：<Context docBase="/data/upload" /> 且不放 JAR 到 WEB-INF/lib 触发解析
• 以非 root 用户（tomcat:nologin）运行，最小化权限
• 清理已存在的 /webapps/ROOT/shell.jsp 等可疑文件，检查 access log 中的攻击痕迹

五、应急与验收

• 排查服务器是否已被入侵（crontab、历史命令、异常进程）
• 修复后回归测试：上传 shell.jsp、`../../