主页 / server / 问题 / 404332
Accepted
ananthan
Asked: 2012-07-04 02:44:08 +0800 CST

允许任何文件上传到服务器和安全风险

  • 772

我们有一个项目，允许用户通过在 Linux 服务器上运行的 php 上传将数据备份到服务器。

如果用户上传任何可执行文件，它将在上传后自动重命名为其他名称，并从文件中删除执行权限。

这会不会导致安全问题。

黑客上传的病毒在没有执行权限和实际名称的情况下是否仍然可以运行。

上传位置不是 /var/www，而是在单独的存储设备中。

linux malware security upload

1 个回答

  1. Best Answer

    我的假设：您正在运行 Apache。

    .exe表明你在谈论 Windows 可执行文件，但你的标签表明你在谈论 Linux 服务器。“黑客”将无法在 Linux 服务器上执行 Windows 可执行文件，无论您授予他们什么名称或权限。

    风险不在于他们可以运行他们的代码，而在于他们可以强制 Web 服务器将文件上传到另一个位置，从而获得任意访问权限。或者，他们可以上传 PHP/其他文件，然后让 Web 服务器执行该文件（不需要执行权限，只需要读取权限）并通过该路径获得访问权限。因此，您需要做的第一件事实际上是确保上传的任何文件位于 Apache 拒绝从中读取文件的位置。

    针对您的评论，

    如果您确保文件在上传后位于不允许 Apache 提供内容的位置，或者具有阻止 Apache 读取文件的权限，那么很可能会缓解一些问题。

    但是，请注意，这并不是您需要采取的一套全面的措施来保护您的服务器，它只是第一个突然出现在您脑海中的措施。我只是想指出你的问题表明你没有意识到真正的风险，你可能需要做一些研究来保护允许上传内容的网络服务。

    • 2

相关问题