绕过服务端文件上传检测：黑名单绕过技术与实战

文件上传漏洞是Web安全中常见且危害极大的漏洞类型之一，而黑名单机制是最基础的防御手段。本文将深入探讨三种经典的黑名单绕过技术，并提供实战案例与防御方案。

引言

文件上传功能是现代Web应用的重要组成部分，但同时也是攻击者最常利用的攻击向量之一。当服务端采用黑名单机制来限制文件上传时，攻击者往往能找到巧妙的方法绕过这些限制，上传恶意文件（如Webshell）从而获取服务器控制权。

黑名单机制的局限性

黑名单机制通过禁止特定扩展名（如.php、.asp、.jsp）的文件上传来提供安全防护。然而，这种机制存在先天缺陷：它只能阻止已知的危险扩展名，无法防范未知或变种的攻击方式。

黑名单绕过技术详解

1. 后缀大小写绕过

原理分析

当服务端使用简单的字符串匹配检测（如in_array()或==比较），且未统一规范化文件扩展名时，攻击者可以通过改变扩展名的大小写来绕过检测。

漏洞代码示例

$blacklist = array('php', 'asp', 'jsp');
$extension = strtolower(pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION));// 错误：未先转换为小写再比较
if (in_array($extension, $blacklist)) {die("危险文件类型！");
}

绕过方法

Webshell.Php
Webshell.PHp
Webshell.pHp

实战案例

某CMS系统仅检测小写扩展名，攻击者上传shell.PHP文件成功绕过检测，Apache服务器仍将其解析为PHP脚本。

2. 空格绕过

原理分析

在Windows环境中，文件名末尾的空格会被自动去除。如果服务端未对上传文件名进行去空处理，攻击者可利用此特性绕过检测。

漏洞代码示例

$filename = $_FILES['file']['name']; // 获取"shell.php "
$extension = pathinfo($filename, PATHINFO_EXTENSION); // 获取扩展名"php "if (in_array($extension, $blacklist)) {die("危险文件类型！");
}// Windows系统保存文件时会自动去除末尾空格，变成"shell.php"
move_uploaded_file($_FILES['file']['tmp_name'], 'uploads/'.$filename);

绕过方法

shell.php （末尾加空格）
shell.php. （点号后加空格）

实战案例

某论坛使用简单黑名单检测，但未处理文件名空格。攻击者上传cmd.asp 文件，在Windows服务器上成功保存为cmd.asp并被IIS解析执行。

3. 点号绕过

原理分析

Windows系统会自动去除文件名末尾的点号（.），而许多黑名单检测逻辑未考虑这一特性。

漏洞代码示例

$filename = $_FILES['file']['name']; // 获取"shell.php."
$extension = pathinfo($filename, PATHINFO_EXTENSION); // 获取扩展名"php."if (in_array($extension, $blacklist)) { // 检测"php."不在黑名单中die("危险文件类型！");
}// Windows保存时自动去除末尾点号，变成"shell.php"
move_uploaded_file($_FILES['file']['tmp_name'], 'uploads/'.$filename);

绕过方法

shell.php.
shell.asp.

实战案例

某企业OA系统在黑名单中禁止了PHP文件，但未处理末尾点号。攻击者上传admin.php.文件，在Windows服务器上成功保存为可执行的PHP文件。

综合利用与高级技巧

熟练的攻击者往往会组合使用多种技术：

组合payload：Webshell.PHp. （大小写+点号+空格）
双重扩展名：shell.php.jpg（配合解析漏洞）
特殊字符：shell.php%00.jpg（空字节截断，需特定环境）

防御方案

1. 使用白名单替代黑名单

$whitelist = array('jpg', 'png', 'gif', 'pdf');
$extension = strtolower(pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION));if (!in_array($extension, $whitelist)) {die("仅允许上传图片和PDF文件！");
}

2. 规范化文件名

// 去除首尾空格和点号
$filename = trim(basename($_FILES['file']['name']), " .");
$extension = strtolower(pathinfo($filename, PATHINFO_EXTENSION));

3. 重命名上传文件

// 使用随机生成的文件名，避免保留用户输入
$new_filename = md5(uniqid().mt_rand()).'.'.$extension;
move_uploaded_file($_FILES['file']['tmp_name'], 'uploads/'.$new_filename);