UC知道帮我看一下这个asp上传程序有没有漏洞
来源：百度知道 编辑：UC知道 时间：2024/06/07 04:13:04
以前做过带上传功能的网站，结果老是被黑，害得我都不敢用上传的功能了，因为代码是网上下载的，而我又学不懂什么攻击的方法，所以所有上传功能的程序我都不放心用，下面这段代码是从网上看的并且自己改装的，文件名为upload.asp ，请高手帮忙看下这个上传程序会不会被人利用，有没有bug，密码"abc123"会不会泄漏，如果有请说明一下原理，谢谢~！
upload.asp代码如下：
<%
if request.querystring("act")="up" and Request.Form("pass")="abc123" then
FileName=Request.Form("file")
Set objStream=Server.CreateObject("ADODB.Stream")
objStream.Type=1
objStream.Open
objStream.LoadFromFile FileName
objStream.SaveToFile Server.MapPath(""&right(FileName,len(FileName)-InStrRev(FileName,"\"))),2
objStream.Close
response.write "上传成功，返回<a href=upload.asp>upload.asp</a>"
else
%>
<form name="FORM" action="upload.asp?act=up" method="post">
<input type="file" name="file" size="30" value="">
upload.asp代码如下：
<%
if request.querystring("act")="up" and Request.Form("pass")="abc123" then
FileName=Request.Form("file")
Set objStream=Server.CreateObject("ADODB.Stream")
objStream.Type=1
objStream.Open
objStream.LoadFromFile FileName
objStream.SaveToFile Server.MapPath(""&right(FileName,len(FileName)-InStrRev(FileName,"\"))),2
objStream.Close
response.write "上传成功，返回<a href=upload.asp>upload.asp</a>"
else
%>
<form name="FORM" action="upload.asp?act=up" method="post">
<input type="file" name="file" size="30" value="">
简单啊~！
在本地架设IIS，把上传页面放在本地就可以了。
因为无论你怎么屏蔽文件类型，把ASP文件后缀给过滤了，但只要知道你的上传文件页面地址，照样可以轻松利用工具来上传。（如：明小子注入工具）里面就有这个功能。
如果非得把页面放到网上的，那建议把上传页面的名字命个比较不规则的，扫描软件特征库中找不到的名字，(upload.asp或up.asp这些都太规则)这样软件扫不到，你也就安全了。
有没有检测文件类型?
如果没有检测的话,很容易被上传网页木马