可以上传带有恶意文件名的文件吗？

Question

是否可以将HTTP上传请求发送到Apache或IIS的文件，该文件的文件名将带有“ ../”或“ ..”而不会被拒绝，并将被传递给php或ASP.Net引擎？

Answer 1

并不是您问的方式。 到服务器时，浏览器已读取文件并将其作为内容块发送，除了您可以选择使用或丢弃的原始文件名外，没有任何有关文件来源的信息。

通常，文件上传会进入一个临时存储位置（例如/ tmp），然后需要移出该位置到您可以控制和命名的位置。

该存储设备是在服务器上配置的，因此，将路径信息放入文件名的任何尝试也应被服务器的文件上传实现阻止，如果浏览器尚未这样做，则应该再次对文件名进行清理。

如果有错误，那么所有的选择都关闭。