渗透测试面试常见问题总结（连更七天）Day2

目录

1、文件上传漏洞原理

2、文件上传攻击特征

3、文件上传漏洞的加固方法

4、文件上传的检测点有哪些

5、文件上传怎么通过设备判断

6、如何检测webshell

7、当服务器存在webshell时该如何处理

8、排查shell应该用什么命令来排查

9、C/S的流量特征

10、MSF的流量特征

1、文件上传漏洞原理

当用户上传文件时，通常需要通过 HTTP 或 HTTPS 协议将文件传输到 Web 服务器。文件上传的原理可以简单地描述为：
1. 客户端向服务器发送一个包含文件数据的 POST 请求。
2. 服务器接收请求并解析其中的文件数据。
3. 服务器将文件保存在指定的目录下，并返回处理结果给客户端。
 
具体来说，文件上传流程一般如下：
1. 用户在 Web 页面上选择要上传的文件，并提交表单。
2. 浏览器将表单中的数据进行编码并作为 POST 请求发送给 Web 服务器。
3. Web 服务器接收到请求后，会解析请求参数，获取上传的文件数据。
4. 服务器对上传的文件进行校验和过滤，例如检查文件格式、大小、类型等，防止上传恶意文件。
5. 如果上传的文件符合要求，则将文件存储在指定的位置，如果不符合要求，则拒绝上传并返回错误信息。
6. 服务器返回上传结果给客户端，告知用户文件是否上传成功。
需要注意的是，文件上传涉及到的安全问题较多，例如上传的文件可能会包含病毒、木马等恶意程序，攻击者可能会利用上传漏洞上传恶意文件，从而导致服务器被控制。因此，在进行文件上传功能开发时，需要仔细考虑安全问题，并采取相应的防御措施，例如限制上传文件大小、过滤不安全的文件类型等。

2、文件上传攻击特征

文件上传攻击是指攻击者通过网站上的文件上传功能，上传恶意文件来执行攻击。以下是一些文件上传攻击的特征：
1. 文件类型绕过：攻击者可能会尝试上传不受支持的文件类型，或者将文件类型伪装成其他类型，以绕过文件类型检查。
2. 文件名欺骗：攻击者可能会使用诱人的文件名称来欺骗用户下载或打开恶意文件。
3. 文件内容：上传的文件可能包含恶意代码、木马、病毒等恶意程序，这些程序可被用于攻击和控制目标系统。
4. 大小限制绕过：攻击者可能会尝试绕过文件大小的限制，上传超过规定大小的文件。
5. 目录遍历：攻击者可能会通过在文件名中插入../等字符来遍历目标服务器上的目录，获取敏感信息或执行攻击。
如果您担心自己的网站可能会受到文件上传攻击，请确保实施足够的安全措施，如限制上传文件类型、大小和数量、对上传的文件进行检查、将上传的文件保存在安全的位置，并为所有上传的文件生成一个唯一的文件名。

3、文件上传漏洞的加固方法

1. 文件类型和大小限制：在服务器端对上传的文件进行检查，确保上传的文件类型、大小和数量符合预期。可以使用白名单方式进行限制，只允许上传特定类型的文件。
2. 检查文件内容：在服务器端对上传的文件进行检查，确保它们不包含恶意代码或病毒等危险内容。可以使用杀毒软件或安全扫描工具来帮助检查上传的文件。
3. 重命名文件：将上传的文件保存在一个新的随机生成的文件名下，而不是使用用户提供的文件名。这样可以避免攻击者通过伪造文件名来欺骗用户。
4. 存储位置：将上传的文件保存在与网站主目录分离的位置上，以避免攻击者上传Webshell等恶意脚本，并能够防止攻击者直接访问上传的文件。
5. 使用安全上传类库：使用安全的上传类库或框架，如Apache Commons FileUpload、SecureFileUploader等。
6. HTTPS加密：在传输过程中使用HTTPS协议加密，以避免数据在传输过程中被窃听或篡改。
7. 日志审计：记录所有的文件上传操作并定期审计日志，以便发现异常上传行为，及时采取措施。
总之，防止文件上传攻击需要综合考虑多种因素，包括文件类型、大小、内容、存储位置、传输方式等，同时定期进行安全审计，并且对于应用程序代码的编写需要充分考虑安全因素。

4、文件上传的检测点有哪些

文件上传是一种常见的Web攻击方式，攻击者可以通过上传恶意文件来获取目标系统的控制权或执行其他恶意行为。以下是一些可能用到的文件上传检测点：
1. 文件类型和扩展名：在上传文件时，应该限制允许上传的文件类型和扩展名，并禁止上传可执行文件和脚本等危险文件，例如.exe、.php、.asp等。
2. 文件大小：应该限制上传文件的大小，以避免恶意用户上传大型文件导致系统资源耗尽，或者上传超过限制大小的文件绕过其他安全措施。
3. 文件内容检查：对于允许上传的文件，应该进行内容检查，确保其中不包含任何恶意代码、无效数据或其他潜在的安全风险。
4. 文件重命名：对于上传的文件，应该使用随机的文件名来避免攻击者对其进行识别和攻击。
5. 路径遍历检查：应该检查上传文件的路径，并防止攻击者利用路径遍历漏洞来上传文件到非预期目录。
6. 权限和访问控制：应该根据用户身份和角色来控制文件上传的权限和访问控制，防止未经授权的用户上传文件并访问到应用程序中的敏感数据。
7. 文件处理和存储：应该将上传的文件存储在安全的位置，并对其进行适当的处理和过滤，例如加密、压缩、解压等操作。同时，应该监测并记录所有的文件上传操作，以便后续的审核和追踪。

5、文件上传怎么通过设备判断

在文件上传功能中通过设备判断，通常可以使用HTTP请求头中的User-Agent字段来识别用户所使用的设备类型。该字段包含了用户代理软件的名称、版本号和操作系统等信息，可以根据这些信息来判断用户所使用的设备类型，例如PC、手机或平板电脑等。
以下是一些常见的User-Agent值，用于识别不同设备类型：
● PC端浏览器的User-Agent值通常包含“Windows”、“Macintosh”等关键字。
● iOS设备的User-Agent值通常包含“iPhone”、“iPad”等关键字。
● Android设备的User-Agent值通常包含“Android”等关键字。
在服务器端代码中，可以通过解析HTTP请求头，提取User-Agent字段，并对其进行匹配和分类。例如，可以使用正则表达式来匹配User-Agent值，从而判断用户所使用的设备类型，并针对不同的设备类型做出相应的处理，例如限制上传的文件类型、大小等。
需要注意的是，User-Agent字段可能存在伪造或篡改的情况，因此不能完全依赖这个字段来确定用户的设备类型。在实现安全验证时，还需要采取其他措施，例如限制上传路径、禁止上传可执行文件、对上传文件进行文件类型检查、加强文件访问权限等，以增强上传功能的安全性和完整性。

6、如何检测webshell

Webshell是指嵌入到Web服务器上的一种命令执行环境，可以通过Web页面或HTTP协议与其进行交互，攻击者可以利用Webshell来执行各种恶意操作。检测Webshell可以使用以下几种方法：
1. 查看Web服务器访问日志：Webshell通常会产生异常的网络流量，例如向非标准端口发送POST请求等。查看Web服务器的访问日志，观察是否存在异常的请求。
2. 安全扫描工具：使用安全扫描工具对Web服务器进行扫描，以检测是否存在Webshell。常用的安全扫描工具包括Nessus、OpenVAS等。
3. 文件监控：Webshell通常会将恶意代码写入某个文件中，因此可以通过文件监控工具来检测Webshell。例如，当文件被修改时，文件监控工具会立即发送警报。
4. 内存监控：有些高级的Webshell可能不会在磁盘上留下任何痕迹，而是直接将代码注入到内存中。因此，可以使用内存监控工具来检测是否存在Webshell。
5. 安全审计：对Web服务器进行安全审计，检查是否存在安全漏洞，例如文件上传漏洞、命令注入漏洞等。攻击者通常会利用这些漏洞来上传Webshell。
以上方法并不能完全保证检测到所有的Webshell，因此建议在Web服务器上部署安全防护解决方案，定期进行安全扫描和审核，并及时更新软件补丁。

7、当服务器存在webshell时该如何处理

Webshell是一种Web服务器上的恶意代码，可以使攻击者远程控制服务器，并执行各种命令、上传下载文件等操作。以下是处理服务器存在Webshell的一些方法：
1. 扫描和确认Webshell
可以通过查看Web服务器日志或使用安全扫描工具来确认是否存在Webshell。找出所有可疑文件并进行彻底检查，以确定是否存在Webshell。
2. 删除Webshell
如果确定存在Webshell，需要立即将其删除，并对系统进行全面清理。删除Webshell时，应同时清除与Webshell相关的文件和目录，并且应用程序代码也需要进行更新和修复。
3. 加强安全防护措施
为了避免服务器再次被感染，需要加强安全防护措施，包括加强服务器的监控和日志审计、安装杀毒软件并定期更新、限制非管理员用户权限等。
4. 修改密码
修改服务器管理员的账户密码，并确保强密码策略得到实施，建议使用包含大写字母、小写字母、数字和特殊字符等不同类型字符组成的复杂密码，并设置密码长度要求。
5. 更新和修复应用程序代码
Webshell通常是由于应用程序存在漏洞或安全问题而被植入的。因此，为了防止类似问题再次发生，需要及时更新并修复应用程序代码中的安全漏洞。
总之，在处理服务器存在Webshell的问题时，需要快速准确地识别和清除Webshell，并加强服务器和应用程序的安全防护措施。同时，也需要定期进行巡检和审计，及时发现和排除漏洞，以确保系统的完整性和安全性。

8、排查shell应该用什么命令来排查

要排查 shell 的问题，可以使用以下命令：
1. echo：用于打印变量或字符串，可以用来检查变量的值是否正确。
2. set：用于显示所有的 shell 变量和函数，包括环境变量。
3. env：用于显示当前 shell 环境下的所有环境变量。
4. source 或 .：用于读取并执行指定文件中的命令，通常用于重新加载配置文件。
5. sh -x script.sh：用于以调试模式执行脚本，并输出每个执行的命令及其参数。
6. ps：用于列出当前正在运行的进程，可以使用 ps aux 查看详细信息。
7. top：用于实时查看系统资源的使用情况，可以用来定位占用 CPU 或内存过高的进程。
8. grep：用于搜索指定的文本内容，可以用来查找特定日志文件中的错误信息等。
这些命令可以帮助您快速诊断 shell 中的问题。

9、C/S的流量特征

C/S（Client/Server，客户端/服务器）流量是指基于客户端和服务器之间的通信产生的网络流量。C/S 流量特征包括以下几个方面：
1. 会话建立：C/S 流量通常都需要进行会话建立，包括握手、协议版本交换、密钥协商等过程。在这个过程中，通常可以看到一些特定的协议字段和标志位。
2. 数据传输：传输数据是 C/S 流量的主要特征之一。在这个过程中，通常可以看到明文或加密的数据传输，并且数据大小和传输速度也是分析流量的重要指标。
3. 响应时间：C/S 流量通常包含请求和响应消息，因此可以通过分析请求和响应之间的时间差来判断系统性能和服务质量。
4. 协议类型：C/S 流量涉及多种不同的协议类型，例如 HTTP、FTP、SMTP、POP3 等，每种协议的特点和流量特征也有所不同。
5. 应用程序特点：C/S 流量还表现出应用程序的特点，例如应用程序的请求方式、请求频率、用户行为等等，这些特点对于分析和识别流量非常有帮助。
总之，在分析 C/S 流量时，需要综合考虑多个方面的特征，并结合具体的应用程序和场景进行分析。同时，也需要使用适当的工具和技术，例如协议解码器、流量捕获工具等，来对流量进行捕获和分析。

10、MSF的流量特征

MSF（Metasploit Framework）是一个开源的网络安全测试工具，可以用于对系统进行渗透测试和漏洞分析。在使用 MSF 进行攻击时，会产生一些特定的流量特征，包括以下几个方面：
1. 目标端口：MSF 框架使用多种不同的攻击模块来利用目标系统的漏洞，因此 MSF 流量通常涉及多个不同的目标端口，例如常见的 80、443、445 等端口。
2. 异常请求：MSF 框架使用恶意代码来对目标系统进行攻击，因此 MSF 流量中通常会出现大量异常请求，例如尝试访问非法 URL、发送恶意数据包等。
3. 频繁扫描：为了寻找目标系统的漏洞，MSF 框架通常会频繁地进行端口扫描、服务识别等操作，因此 MSF 流量中通常会出现大量扫描和探测请求。
4. 数据包大小：由于 MSF 框架通常会向目标系统发送大量恶意数据包，因此 MSF 流量中通常会出现较大的数据包大小。
5. 特殊协议：在攻击过程中，MSF 框架通常会使用一些特殊的协议，例如 Meterpreter、Reverse TCP 等，这些协议在 MSF 流量中通常表现出特定的流量特征。
总之，在分析 MSF 流量时，需要综合考虑多个方面的特征，并结合具体的攻击模块和服务进行分析。同时，也需要使用适当的工具和技术，例如网络抓包工具、IDS/IPS 等，来对 MSF 流量进行捕获和分析。