常见漏洞验证121 条

文件上传功能验证

上传功能需从类型校验、存储位置、访问方式三方面评估：常见问题是校验只在客户端或只看扩展名。

验证清单

1. 改扩展名上传（.jpg 内容改 .php 类）观察接纳情况
2. 修改 Content-Type 重放上传
3. 上传双扩展名与大小写混合名，观察存储与回显
4. 检查上传后的访问路径与权限
（所有样本使用无害文本文件）

修复视角：服务端校验扩展名白名单 + 内容检测；上传目录禁止解析执行、随机化文件名、独立域名存储。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌