文章目录：
- 1、如何设计出一个安全的文件上传功能
- 2、最近网上流行的XSS是什么意思
- 3、文件上传漏洞有哪些挖掘思路?
- 4、学习网络安全需要哪些基础知识？
- 5、如何搭建一个含有慢速ddos，xss，sql注入，文件上传等漏洞的网站
如何设计出一个安全的文件上传功能
这两天我们的老朋友PDP在BlackHat 08上做了一个关于GIFAR的演讲。和往常一样，PDP的东西基本上都很猥琐，这个也是。主题是关于是如何把GIF或者 JPG文件和JAR文件捆绑在一起，然后欺骗服务器以为是GIF或JPG文件，结果却是在客户端的JVM中执行JAR的例子。
他还举了些欺骗的例子，比如在office2007中，doc文件实际上就是zip格式了，里面都是些xml，那么他把jar文件打包在zip文件里，再把后缀改成doc，来达到欺骗的目的。
在这里是客户端的问题，我想到的则是其他的问题，比如安全上传。
根据以往的经验看来，我们可能会设计如下文件上传的安全规则：
1. 文件上传的目录设置为不可执行
2. 判断文件类型
3. 单独设置文件服务器的域名
4. 改写文件名，文件路径不可预测
第一点规则是显而易见的，是为了减小执行动态语言脚本的风险。如果被成功上传了一个webshell，但是不能执行，还是能够起到深度防御的作用。
第二点，在判断文件类型的时候，我们一般要求使用白名单，而不是黑名单，因为黑名单可能会列不全，还可能会造成一些bypass的风险。
比如以前老版本的 FCKEditor就出过这种问题，只做了黑名单的控制，最后被bypass。
而apache有个特性，是解析第一个“ . ”后的文件后缀作为文件类型，比如 fvck.php.rar.rar.rar 会被apache当作 fvck.php解析。 我最近看了下php的手册，在安装文档里，针对这个问题，专门有一个指导：
15. Tell Apache to parse certain extensions as PHP. For example, lets have
Apache parse .php files as PHP. Instead of only using the Apache AddType
directive, we want to avoid potentially dangerous uploads and created
files such as exploit.php.jpg from being executed as PHP. Using this
example, you could have any extension(s) parse as PHP by simply adding
them. Well add .phtml to demonstrate.
FilesMatch .php$
SetHandler application/x-httpd-php
/FilesMatch
IIS6也有这种类似的特性，即在文件夹名字为 fvck.asp 时(fvck可替换为任意值)，该文件夹下任何文件都会被当作asp来执行，
至今似乎也未见到微软有把这个特性当作bug来fix的迹象。
所以如果不熟悉这些webserver的特性，你可能会觉得漏洞来的如此神奇：我明明做了充分限制，为什么还是被“做俯卧撑”了？
在判断文件类型的时候，大多数程序都是使用的采用检查文件后缀的方法，这里主要需要注意的hacking trick是某些检查函数是否会以0字节作为结束的判断，以前动网就出过类似的漏洞，上传 fvck.jpg%00.asp即可绕过文件类型检查。
我也见过只检查文件头部的，这种也很好欺骗，构造一个合法的gif文件头部，然后将webshell贴在后面，在后缀合法的情况下，一样能够被浏览器解析：
GIF89a ?
? phpinfo(); ?
比较高级一点的是做更多的文件格式检查，比如检查图片里像素的长宽等，然后再对图片做一次压缩，这样出来的图片基本都变形了，有啥webshell也被破坏了。
而检查文件格式时候一般会用到一些网上已经封装好的类，在扫描文件格式方面还是比较有优势的。但是在检查大文件的时候效率显然是一个需要考虑的问题，很多程序员出于效率原因可能不太会愿意选择这种方式。
但是今天从PDP的这个绑定文件的猥琐方法看来，详细检查文件格式的方法还是非常有必要的，因为攻击者的目标可能不光是服务器，还是客户端，如果要对客户端有所保证，就必须要详细检查文件格式，使之落在白名单中。
第三点，单独设置文件服务器域名，也是一种针对客户端的保护。这样可能会避免许多跨域的问题。如果发生了XSS，攻击者可能还需要突破跨域的限制才能进一步扩大战果。再比如如果被上传了crossdomain.xml，可能就会导致flash的跨域问题，这些都是实实在在的风险。
第四点，改写文件名，随机文件路径。这是把风险藏起来，现在基本上尽职一点的程序员都会这么设计，这也是最大程度减小风险的非常切实有效的手段。
需要注意的是构造随机文件名或路径的算法需要足够“随机”，而不要从比如cookie之类的地方直接取一段hash出来。比较好的做法是在server上用类似random()一类的函数来生成，相信程序员们这点意识还是有的，不再赘述了。
最近网上流行的XSS是什么意思
最近网上流行的XSS是小学生的恶称，骂小学生的。
一是指某些人的想法、思维方式、对事物的认知和思考能力如孩子般幼稚、单纯、天真。
二是特指某类相对于同龄的人，在游戏竞技或者社交网络中， 态度傲慢、技术水准较差、拒绝与队友沟通、独断专行、忽视团队合作、甚至喜欢恶语相向的网游玩家。
三是指对没有接触过社会或社会经验不足。
扩展资料：
1、小学生技术菜，爱骂人，玻璃心（说他一句就挂机送人头，不管说什么，比如：中路的你不要再送了，然后他就说“我就送”，接着就开始了。）小学生的心思就像星空，摸不着猜不透。
2、大喷子（网络中对喜欢肆意谩骂、地域黑、招黑、互黑等网友的一种广泛性定义。），不分青红皂白就开喷。
3、说话不经过大脑考虑，以自我为中心，可能是在家被宠惯了。
4、没有接触过社会大家庭或接触社会经验不足。比如：参加工作，你要是不让新人上，永远都是新人。这也是小学生。
文件上传漏洞有哪些挖掘思路?
文件上传漏洞作为获取服务器权限最快的方式，虽然相关资料很多，但很多人对上传校验方式、如何针对性绕过检测、哪种上传和解析的场景会产生危害等还是比较模糊。本文作一些阐述，然后补充一些除了上传webshell的其他非常规挖掘姿势，包括XSS、重定向、Dos、CSRF等等。
1、基础知识：
要深入了解文件上传，必须了解上传属性、常见文件的结构、图形处理函数等内容。
1） 报文特点：
观察文件上传报文的特点：
Header中Content-Type特征有二：
1.multipart/form-data（form表单的enctype属性，规定为二进制数据）
2.boundary字符串（作用为分隔符，以区分POST数据）
POST内容特征有五：
1.Content-Disposition：form-data
2. name：input表单名
3.filename：文件名
4.Content-Type：定义文件的类型和网页的编码，决定浏览器将以什么形式、什么编码读取这个文件；
5.boundary：Content-Type的值前面加了两个---
2） 常见校验规则
现存常用的上传校验规则无非下面几类：
1.客户端javascript校验（后缀名）
2.文件头content-type字段校验（image/gif）：附带参数
4.后缀名黑/白名单校验：扩展名
5.文件内容头校验：GIF89a
6.文件内容校验：文件信息，二次渲染
7.自定义正则校验
3）一个澄清
文件上传和文件解析是两个过程，即使我们上传的是php文件，但解析为图片，访问php文件会显示“图片无法显示”；或者我们上传的是jpg文件，但里面混有shell脚本，若被解析为php文件也会执行；又或者上传处没法绕过检测，只能上传jpg文件，但在其他功能处存在文件包含等功能，仍可执行成功。
还是回到安全的本质，上传是“输入”，那文件解析就是“输出”，任何漏洞挖掘都需要结合输入+输出。
2、绕过技巧：
这里汇总一些实战中较常用的绕过技巧：
1）后缀名黑名单
以下替换后缀也可以解析为shell：
php：.phtml,.phpt,.php3,.php3p
asp：.aspx，asmx，ashx，web.config
perl:.pl,.pm,.cgi,.lib
jsp:.jspx,.jsw,.jsv,.jspf
Coldfusion:.cfm,.cfml,.cfc,.dbm
另外可以配合操作系统的文件命名规则：
.php.,.php空格，.php:1.jpg,.php::$DATA等
这些后缀的文件会被windows系统自动去掉不符合规则符号后面的内容，从而只留下.php。
2）后缀名白名单
除了结合各种服务器解析特性，较常用的是Null Byte Injection空字节注入，插入空字节值的原因是某些应用程序服务器脚本语言使用c/c++库来检查文件名和内容。在C/C ++中，一行以/00结尾或称为NullByte。因此，只要解释器在字符串的末尾看到一个空字节，就会停止读取，认为它已经到达字符串的末尾。
如，我们将要上传的Happy.jpg的名称更改为Happy.phpA.jpg，然后上传文件，在Burp中捕获请求，切换到Hex视图。在字符串视图中找到文件名。查看相应的Hex表，并将41（'A'）替换为00（为空字节）。结果字符串变为Happy.php（空）.jpeg。由于php解释器在内部使用C语言库，它将停止读取Happy.php后的文件名，文件将保存为Happy.php。
另一种绕过白名单的方法是使用双后缀：shell.php.jpg。
学习网络安全需要哪些基础知识？
一些典型的网络安全问题，可以来梳理一下：
IP安全：主要的攻击方式有被动攻击的网络窃听，主动攻击的IP欺骗（报文伪造、篡改）和路由攻击（中间人攻击）；
2. DNS安全：这个大家应该比较熟悉，修改DNS的映射表，误导用户的访问流量；
3. DoS攻击：单一攻击源发起的拒绝服务攻击，主要是占用网络资源，强迫目标崩溃，现在更为流行的其实是DDoS，多个攻击源发起的分布式拒绝攻击；
《计算机基础》、《计算机组成原理》、《计算机网络》 是三本关于计算机基础的书籍，强烈推荐给你，看完之后可以对计算机的东西有个初步的了解。
拓展资料：
1、上网前可以做那些事情来确保上网安全？
首先，你需要安装个人防火墙，利用隐私控制特性，你可以选择哪些信息需要保密，而不会不慎把这些信息发送到不安全的网站。这样，还可以防止网站服务器在你不察觉的情况下跟踪你的电子邮件地址和其他个人信息。其次,请及时安装系统和其它软件的补丁和更新。基本上越早更新,风险越小。防火墙的数据也要记得及时更新。
2、如何防止黑客攻击？
首先，使用个人防火墙防病毒程序以防黑客攻击和检查黑客程序（一个连接外部服务器并将你的信息传递出去的软件）。个人防火墙能够保护你的计算机和个人数据免受黑客入侵，防止应用程序自动连接到网站并向网站发送信息。
其次，在不需要文件和打印共享时，关闭这些功能。文件和打印共享有时是非常有用的功能，但是这个特性也会将你的计算机暴露给寻找安全漏洞的黑客。一旦进入你的计算机，黑客就能够窃取你的个人信息。
3、如何防止电脑中毒？
首先，不要打开来自陌生人的电子邮件附件或打开及时通讯软件传来的文件。这些文件可能包含一个特洛伊木马程序，该程序使得黑客能够访问你的文档，甚至控制你的外设，你还应当安装一个防病毒程序保护你免受病毒、特洛伊木马程序和蠕虫侵害。
4、浏览网页时时如何确保信息安全？
采用匿名方式浏览，你在登录网站时会产生一种叫cookie（即临时文件，可以保存你浏览网页的痕迹）的信息存储器，许多网站会利用cookie跟踪你在互联网上的活动。
你可以在使用浏览器的时候在参数选项中选择关闭计算机接收cookie的选项。（打开 IE浏览器，点击 “工具”—“Internet选项”， 在打开的选项中，选择“隐私”，保持“Cookies”该复选框为未选中状态，点击按钮"确定"）
5、网上购物时如何确保你的信息安全？
网上购物时，确定你采用的是安全的连接方式。你可以通过查看浏览器窗口角上的闭锁图标是否关闭来确定一个连接是否安全。在进行任何的交易或发送信息之前阅读网站的隐私保护政策。因为有些网站会将你的个人信息出售给第三方。在线时不要向任何人透露个人信息和密码。
如何搭建一个含有慢速ddos，xss，sql注入，文件上传等漏洞的网站
如何搭建一个含有慢速ddos，xss，sql注入，文件上传等漏洞的网站
XSS攻击：跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。
算机基础》、《计算机组成原理》、《计算机网络》 是三本关于计算机基础的书籍，强烈推荐给你，看完之后可以对计算机的东西有个初步的了解。拓展资料：1、上网前可以做那些事情来确保上网安全？首先，你需要安装个人防火墙