关于一个任意文件上传漏洞场景的讨论

我在知识星球发起一个问题：

#安全题目#经常遇到一些系统架构会设置单独的文件服务器，甚至有些saas软件服务会要求客户提供hdfs用来存储用户上传的图片等附件。这种情况下，即使任意文件上传，恶意代码也解析不了。从代码角度看，未对文件类型和格式做合法性校验；但从漏洞危害来看，它并未危害到系统安全。

你认为这是漏洞吗，如果是，它应该是什么级别，高危/中危/低危?

得到了不少星友的热情回应,下面摘录一些星友的看法。

@百里长苏：低微

@z：不是漏洞

@Xm17：按照白帽子，严重，按照厂商，无危害

@ch4ce：低危，鬼知道什么时候特定环境大佬骚姿势操作一波就变成高危了。

@on3s：中危吧任意文件上传不一定要传webshell。

@青釉：认为不算是漏洞觉得更像是风险评估里面描述的威胁同时还要看可能存在威胁多少以及威胁的影响程度。

@QWZY：我觉得最主要还是看从哪个角色的角度去考虑这个问题。

@っ、Emotiona*：感觉不算尴尬。

@Think2idea：可以算中危，任意文件上传，恶意传大文件占用服务器资源。

@吴小呆：比如说上传大量垃圾文件，占满空间，影响业务功能，不一定拿shell。

@Nsns：厂商：拒绝。无影响，感谢提交。

@℡ﻩ并说什么都没有发*：这要是被上传的文件可以直接被访问到的话在先审后发的单位就高危了。

@超人：低危，上传超大文件占满存储空间，可造成拒绝服务，或者资源浪费。

@but：白帽子当然是希望每一个漏洞都是严重啊！厂商的话，实际上暂时无危害，就算xss弹窗了因为在其他域名下也很难拿到业务cookie影响到自己的业务系统，但是这个毕竟可以恶意上传，所以个人认为接收漏洞，按低危处理！

@Winck：高危虽然不能解析存放的文件服务器是域名访问的话可以用来做木马链接进一步渗透。

@悟极：漏洞的评级离不开应用的场景。

每个人的思维都有其偏好，享受这个集体讨论的过程，我想这里面可能就有你想要的答案。这个也是我一直比较喜欢T00LS论坛的地方，总会在帖子的评论里，得到点有价值的东西。

我想打造一个小而专的，纯粹一点的圈子，做一些技术交流和知识沉淀。通过不定期发一些安全相关的问题作为引导，注重于集体讨论的过程。

这是一个免费的星球，诚邀你的加入!

点击本文末尾的“阅读原文”，即可进入星球查看。

关于一个任意文件上传漏洞场景的讨论相关推荐

vc++ 6.0 创建程序快捷方式的一个例子源码_漏洞复现:phpcms v9.6.0任意文件上传漏洞(CVE201814399)...
文章说明漏洞复现是为了学习漏洞利用所写,漏洞都是互联网上以流传已久的各种漏洞的利用及原理,用来增强自己见识,培养自己动手能力,有兴趣的朋友可自行搭建环境练习.源码下载连接在文章最后. 漏洞说明 PH ...
WeiPHP5.0 前台任意文件上传漏洞
本博客已搬迁至:https://n0puple.github.io/ 此处不再更新文章本文仅用于技术讨论与研究,文中的实现方法切勿应用在任何违法场景.如因涉嫌违法造成的一切不良影响,本文作者概不负责 ...
php上传漏洞绕过gd库,jQuery File Upload任意文件上传漏洞
事件背景 jQuery是一个快速.简洁的JavaScript框架,是继Prototype之后又一个JavaScript代码库(或JavaScript框架).jQuery File Upload一个jQ ...
某office前台任意文件上传漏洞分析
X微e-office的那个前台任意文件上传漏洞已经被爆出一段时间了,相关的漏洞利用脚本甚至是漏洞批量利用脚本也有很多.在这里根据系统代码结合POC来分析一下这个漏洞点. 定位漏洞点 [私信回复&qu ...
任意文件上传mysql_BigDump 跨站脚本、SQL注入、任意文件上传漏洞
发布日期:2012-11-28 更新日期:2012-12-04 受影响系统: ozerov BigDump 0.29b 描述: ------------------------------------ ...
畅捷通T+ v17任意文件上传漏洞复现
1.前言 8月29晚上就开始收到通知,让我们来排查一下是否有使用畅捷通的系统,说是疑似0day导致很多用户被植入勒索病毒,一时间风头十足.第二天很多平台都更新的防护策略,本次漏洞是任意文件上传漏洞,如 ...
weblogic系列漏洞整理————8、WebLogic 两处任意文件上传漏洞动态分析（CVE-2018-2894）
0x01 前言 CNCERT前几天发公告称发现Oracle公司出品的基于JavaEE结构的中间件WebLogic产品存在一个远程上传漏洞,并得到了厂商的确认,危害程度评分高达9.8分.鉴于厂商已进行了 ...
UEditor .Net版本任意文件上传漏洞复现总结
UEditor .Net版本任意文件上传漏洞复现总结 - 知乎 (zhihu.com) 这个洞有一定年数了,是2018年发现的(从下图的shodan中可以得知,该漏洞已经被大部分黑客SEO利用),最近 ...
文件上传漏洞_通达OA前台任意文件上传漏洞+文件包含漏洞导致getshell
点击蓝字|关注我们通达OA前台任意文件上传漏洞 +文件包含漏洞导致getshell 一.漏洞介绍/Profile/ 通达OA介绍: 通达OA(Office Anywhere网络智能办公系统)是由北京 ...

关于一个任意文件上传漏洞场景的讨论

关于一个任意文件上传漏洞场景的讨论相关推荐

最新文章

热门文章