杨澜访谈录

上传目录变后门温床：三招封死WebShell上传_我的网站

死亡谷

一 |

澎湃新闻记者吴琪朱轩北京韩红爱心慈善基金会（下简称：韩红基金会）采购救护车因供应商资质等问题陷入争议。

　一键部署OpenClaw WebShell最常见的落地方式不是直接攻破服务器，而是通过上传功能把脚本文件传上去。图片上传、头像上传、附件上传，只要后缀没校验好，就可能变成木马的入口。

二 | 8月23日晚，澎湃新闻记者实地走访韩红基金会急救车辆供应商上海均奕汽车科技有限公司位于上海虹口的实际经营地，该处办公室当时大门紧闭，无人应答。

第一招是校验文件头。

三 | 23日19时30分许，记者来到上海虹口区大连路1619号写字楼，该写字楼大堂楼层导览牌明确标注，1207室为上海均奕汽车科技有限公司。不能只看扩展名，jpg/png都有固定文件头，用PHP的getimagesize或者Python的imghdr可以识别真伪。本次探访时值周日晚间，记者乘电梯抵达12层，来到1207室门前，办公室大门紧闭。记者多次敲门，屋内无人回应。透过门上玻璃向内观察，室内有几张简易办公桌，门口也没有悬挂公司的招牌。住在隔壁的一位住户向澎湃新闻表示，其并不清楚1207这间办公室经营业务，这里平日基本没人，仅周末偶尔有人会来。记者随后询问大楼值班保安，对方表示并不清楚1207室的经营业务。据此前报道，一名网友在社交平台发文称，近日专程前往均奕公司注册所在地所属的金山区朱泾镇市场监管所，举报均奕公司涉嫌没有实际经营地址，以及涉嫌没有改装、销售救护车资质等问题。该网友还在社交平台表示，其近日收到了金山区市场监管局关于对均奕公司立案调查的短信通知。第二招是重命名文件，把用户上传的文件名换成随机字符串，不让原始文件名执行。金山区市场监管局8月23日下午对澎湃新闻回应，网友所称的“已立案调查”情况属实。

        
$info = getimagesize($_FILES['file']['tmp_name']);
if (!$info || !in_array($info[2], [IMAGETYPE_JPEG, IMAGETYPE_PNG, IMAGETYPE_GIF])) {
 exit('仅允许上传图片');
}
 
$ext = image_type_to_extension($info[2], true);
$save_name = md5(uniqid()) . $ext;
move_uploaded_file($_FILES['file']['tmp_name'], '/upload/' . $save_name);
?>

第三招是Web服务器层直接禁止执行。上传目录只读、不执行任何脚本，木马传上来也跑不起来。国家企业信用信息公示系统显示，均奕公司成立于2020年4月23日，注册资本为300万元，实缴额10万元。公司法定代表人为贺再春，股东为贺再春、盛玉洁。这是最后一道防线，必须做。注册地位于金山区朱泾镇秀江路。 # Nginx：上传目录禁止脚本执行 location ^~ /upload/ { location ~ \*\.(php|php5|phtml|asp|aspx|cer|jsp)$ { deny all; } } # IIS：在处理程序映射里删除上传目录的脚本映射，或在web.config中加规则数据来源：OWASP文件上传安全指南、Nginx官方location匹配文档

申请创业报道，分享创业好点子。公司经营范围包括机械设备租赁、汽车零配件零售、汽车零配件批发、新能源汽车生产测试设备销售、新能源汽车整车销售、汽车销售、通讯设备销售、第一类医疗器械销售、机械设备销售、贸易经纪、小微型客车租赁经营服务等。