🔍 文件上传漏洞Java源码审计详解（附代码分析）

文件上传是 Web 应用中极其常见的功能，但一旦实现不当，极易造成严重漏洞，如：上传 WebShell、任意文件写入、远程命令执行等。本篇将从源码审计角度，深入剖析文件上传中关键风险点，包含路径处理、文件大小限制、后缀校验、绕过技巧、白名单误用等，并提供典型实现方式与安全建议。

🧱 文件上传的常见实现方式

✅ 1. Spring MultipartFile 实现

@PostMapping("/upload")
public String upload(@RequestParam("file") MultipartFile file) throws IOException {
    String fileName = file.getOriginalFilename();
    File dest = new File("/upload/dir/" + fileName);
    file.transferTo(dest);
    return "上传成功";
}

🔍 问题点分析：

⚠️ 2. 使用 Apache Commons FileUpload（ServletFileUpload）

DiskFileItemFactory factory = new DiskFileItemFactory();
ServletFileUpload upload = new ServletFileUpload(factory);
List<FileItem> items = upload.parseRequest(request);

for (FileItem item : items) {
    if (!item.isFormField()) {
        String fileName = item.getName();
        File file = new File("/upload/" + fileName);
        item.write(file);
    }
}

🔍 风险分析与绕过技巧：

• item.getName() 可被伪造，返回值可能为：../../webapps/ROOT/shell.jsp。
• 若直接写入本地文件系统，无适当处理，可能形成 RCE。
• Commons FileUpload 不自带后缀检查，全部靠开发人员自己处理。

☠️ 核心攻击点分析

📁 1. 路径遍历（Path Traversal）

❌ 不安全代码：

String fileName = request.getParameter("fileName");
File file = new File("/upload/" + fileName);

攻击示例：

fileName=../../../../webapps/ROOT/shell.jsp

🧨 效果： 上传的文件可能被写入 Web项目根目录 下，造成远程代码执行。

✅ 安全建议：

• 禁止文件名中包含 ../、\、空格、%编码字符等。
• 使用 file.getCanonicalPath() 与上传目录前缀比对。

File dest = new File(uploadDir, fileName);
String canonicalPath = dest.getCanonicalPath();
if (!canonicalPath.startsWith(uploadDir.getCanonicalPath())) {
    throw new SecurityException("路径非法");  //会判断上传文件的目录是否在合法目录
}

📏 2. 文件大小未限制（DoS 风险）

未设置上传大小限制，攻击者可构造超大文件导致内存/磁盘耗尽。

✅ Spring Boot 配置：

spring:
  servlet:
    multipart:
      max-file-size: 10MB
      max-request-size: 20MB

💣 3.ZIP 炸弹攻击分析

ZIP 炸弹是一种特制的压缩文件：

• 文件体积非常小（几十 KB）
• 解压后数据极大（几个 GB 到 TB）
• 常用于攻击文件上传和解压服务，使 CPU、内存或磁盘瞬间耗尽

📉 攻击形式举例：

攻击者可能上传 20KB.zip，但解压后文件达到 10GB，导致：

• 磁盘被写满
• 内存耗尽或服务器卡死
• 服务完全崩溃

🔒 ZIP 炸弹防护建议

✅ 服务端代码解压前，务必加上以下限制：

1. 限制解压后文件总大小
2. 限制单个文件大小
3. 限制文件数量
4. 检测压缩比（压缩比过高直接拒绝）

🧪 Java 安全解压 ZIP 示例（带限制）

import java.io.*;
import java.util.zip.ZipEntry;
import java.util.zip.ZipInputStream;

publicclass SafeZipExtractor {
    privatestaticfinallong MAX_TOTAL_UNZIPPED_SIZE = 100 * 1024 * 1024; // 100MB
    privatestaticfinallong MAX_SINGLE_FILE_SIZE = 50 * 1024 * 1024;    // 50MB
    privatestaticfinalint MAX_FILE_COUNT = 100;

    public static void unzipSafely(File zipFile, File targetDir) throws IOException {
        long totalUnzippedSize = 0;
        int fileCount = 0;

        try (ZipInputStream zis = new ZipInputStream(new FileInputStream(zipFile))) {
            ZipEntry entry;

            while ((entry = zis.getNextEntry()) != null) {
                fileCount++;
                if (fileCount > MAX_FILE_COUNT) {
                    thrownew SecurityException("解压文件数过多，疑似 ZIP 炸弹");
                }

                File newFile = new File(targetDir, entry.getName()).getCanonicalFile();

                // 防止路径穿越
                if (!newFile.getPath().startsWith(targetDir.getCanonicalPath())) {
                    thrownew SecurityException("非法路径，疑似穿越攻击: " + entry.getName());
                }

                // 逐步写出解压文件
                try (FileOutputStream fos = new FileOutputStream(newFile)) {
                    byte[] buffer = newbyte[4096];
                    int len;
                    long singleFileSize = 0;

                    while ((len = zis.read(buffer)) > 0) {
                        singleFileSize += len;
                        totalUnzippedSize += len;

                        if (singleFileSize > MAX_SINGLE_FILE_SIZE) {
                            thrownew SecurityException("单个文件过大，疑似 ZIP 炸弹");
                        }

                        if (totalUnzippedSize > MAX_TOTAL_UNZIPPED_SIZE) {
                            thrownew SecurityException("解压内容总体积过大，疑似 ZIP 炸弹");
                        }

                        fos.write(buffer, 0, len);
                    }
                }
            }
        }
    }
}

✅ 上面防护总结：

🚨 其他方式：

• 使用像 Zip4j 或 Apache Commons Compress 这样的库能获得更多安全控制。

📂 4. 后缀名校验缺失或被绕过

❌ 错误做法：黑名单

if (fileName.endsWith(".jsp") || fileName.endsWith(".php")) {
    throw new SecurityException("禁止上传脚本文件");
}

🧨 绕过方式：

✅ 正确做法：白名单校验

List<String> allowExt = Arrays.asList(".jpg", ".png", ".pdf", ".docx");
String ext = fileName.substring(fileName.lastIndexOf(".")).toLowerCase();
//.的定位也很重要，如果用的不是lastIndexOf定位最后一个.大概率存在问题
if (!allowExt.contains(ext)) {
    throw new SecurityException("非法文件类型");
}

🎭 5. 文件名中“点”的位置及隐藏文件攻击

攻击者可上传如下文件名：

• .htaccess
• .env
• .ssh/authorized_keys
• abc.jsp. （带空格）

🧨 某些系统识别后缀可能失误，或将其当作隐藏文件，或绕过后缀判断。

✅ 建议：

• 拒绝以点开头的文件（隐藏文件）
• 拒绝多个点或尾部空格（如 file.jsp ）

if (fileName.startsWith(".") || fileName.contains("..") || fileName.trim().endsWith(".")) {
    throw new SecurityException("非法文件名");
}

🔒 推荐安全上传实现

@PostMapping("/upload")
public String secureUpload(@RequestParam("file") MultipartFile file) throws IOException {
    String originalName = file.getOriginalFilename();

    // 后缀白名单
    String suffix = originalName.substring(originalName.lastIndexOf(".")).toLowerCase();
    List<String> allow = Arrays.asList(".jpg", ".png", ".pdf");
    if (!allow.contains(suffix)) {
        thrownew IllegalArgumentException("不允许的文件类型");
    }

    // 随机命名 + 限定目录
    String newName = UUID.randomUUID().toString().replace("-", "") + suffix;
    File saveDir = new File("/opt/upload/");
    if (!saveDir.exists()) saveDir.mkdirs();

    File dest = new File(saveDir, newName);

    // 路径校验
    if (!dest.getCanonicalPath().startsWith(saveDir.getCanonicalPath())) {
        thrownew SecurityException("非法路径");
    }

    file.transferTo(dest);
    return"上传成功";
}

🛡️ 审计 Checklist

📌 文件上传总结

阅读原文：原文链接