可以上傳帶有惡意文件名的文件嗎？

Question

是否可以將HTTP上傳請求發送到Apache或IIS的文件，該文件的文件名將帶有“ ../”或“ ..”而不會被拒絕，並將被傳遞給php或ASP.Net引擎？

Answer 1

並不是您問的方式。 到服務器時，瀏覽器已讀取文件並將其作為內容塊發送，除了您可以選擇使用或丟棄的原始文件名外，沒有任何有關文件來源的信息。

通常，文件上傳會進入一個臨時存儲位置（例如/ tmp），然后需要移出該位置到您可以控制和命名的位置。

該存儲設備是在服務器上配置的，因此，將路徑信息放入文件名的任何嘗試也應被服務器的文件上傳實現阻止，如果瀏覽器尚未這樣做，則應該再次對文件名進行清理。

如果有錯誤，那么所有的選擇都關閉。