注册    登录
看啥推荐读物
专栏名称: Bypass
致力于分享原创高质量干货，包括但不限于：渗透测试、WAF绕过、代码审计、安全运维。 闻道有先后，术业有专攻，如是而已。
我也要提交微信公众号
今天看啥
微信公众号rss订阅, 微信rss, 稳定的RSS源
目录
今天看啥  ›  专栏  ›  Bypass

关于一个任意文件上传漏洞场景的讨论

Bypass  · 公众号  ·  · 2019-07-21 22:10
我在知识星球发起一个问题：#安全题目#经常遇到一些系统架构会设置单独的文件服务器，甚至有些saas软件服务会要求客户提供hdfs用来存储用户上传的图片等附件。这种情况下，即使任意文件上传，恶意代码也解析不了。从代码角度看，未对文件类型和格式做合法性校验；但从漏洞危害来看，它并未危害到系统安全。你认为这是漏洞吗，如果是，它应该是什么级别，高危/中危/低危?得到了不少星友的热情回应,下面摘录一些星友的看法。@百里长苏：低微@z：不是漏洞@Xm17：按照白帽子，严重，按照厂商，无危害@ch4ce：低危，鬼知道什么时候特定环境大佬骚姿势操作一波就变成高危了。@on3s：中危吧 任意文件上传 不一定要传webshell。@青釉：认为不算是漏洞 觉得更像是风 ………………………………

原文地址：访问原文地址
快照地址： 访问文章快照
推荐文章
GiantPandaCV  ·  硬件高效的线性注意力机制Gated Linear Attention论文阅读
昨天
GiantPandaCV  ·  原理&图解vLLM Automatic Prefix Cache(RadixAttention)首Token时延优化
2 天前
GiantPandaCV  ·  [Attention优化][2w字]原理&图解: 从Online-Softmax到FlashAttention V1/V2/V3
4 天前
GiantPandaCV  ·  [LLaVA系列]CLIP/LLaVA/LLaVA1.5/VILA笔记
5 天前
GiantPandaCV  ·  [LLM推理优化] 100+篇: 大模型推理各方向新发展整理
6 天前
北大就业  ·  招聘 | 国家发展和改革委员会经济与国防协调发展研究中心2024年面向应届毕业生公开招聘工作人员公告
1 月前
海淀山后资讯  ·  15栋！海淀山后这个安置房项目交房啦！
3 年前
上海发布  ·  喜大普奔！本周五起，7号线、16号线高峰增能啦！
6 年前
知著  ·  第三代人形机器人来了，是福还是祸？
6 年前
如松  ·  如松 ： 财富大挪移
7 年前
关于   移动版   ·   Py中国   ·   RSS之家   ·   codingpro   ·   Code   ·   link之家   ·   卧龙AI搜索   ·   藏经阁   ·   小百科
今天看啥 - 微信公众号rss订阅, 微信rss, 稳定的RSS源
© 2024 ~ 沪ICP备11025650号