网安红蓝队必学-任意文件上传下载漏洞

先问自己三个问题

打开这门课之前，不妨先做一次自测：给你一段 PHP 的文件处理代码，你能不能在三十秒内判断出它有没有校验扩展名？面对一个只允许上传图片的接口，你能说出几种绕过思路，并且说清楚每种思路分别在什么服务器配置下才成立？如果拿到的不是一个上传点，而是一个下载接口，比如 download.php?file=report.pdf，你知不知道该往哪个方向去试探？

三个问题里只要有一个答不上来，这门课就有你缺的那块。任意文件上传和任意文件下载经常被放在一起讲，但它们是两套不同的思路：上传考的是「怎么把东西放进去并且让它被执行」，下载考的是「怎么让服务端把不该给的文件读出来」。很多人只练过上传，遇到下载点就只剩一个 ../../ 硬怼，这属于典型的备考点错位。

上传漏洞真正难的不是传上去

初学的人容易把上传漏洞理解成「改个后缀就完事」，实际练习里卡住人的往往是后半段。前端校验可以抓包绕过，MIME 类型可以伪造，黑名单可以用大小写、空格、点号、特殊后缀去凑——这些都属于「传上去」的部分，有套路可循。真正决定能不能拿到权限的是：文件落到了哪个目录、那个目录有没有执行权限、目标中间件把哪些后缀当脚本解析、有没有 .htaccess 或 web.config 这类配置文件可以配合利用。

所以这门课的练习重点会落在条件判断上：同一个上传点，在 Apache 和 Nginx 下打法不一样；同样是黑名单，PHP 和 JSP 的绕过面也不一样。做完之后你应该能画出这样一条链条——从上传点到解析点，中间每一步依赖什么配置。这条链条断在哪一环，攻击就停在哪一环，防御也正是从这些环节去补。

下载漏洞常被低估

任意文件下载看起来危害比上传小，实际在红队视角里它是信息收集的捷径：配置文件里有数据库口令，密钥文件能直接用来伪造凭证，源码能帮你找到更多入口。而它的难点在于路径构造——相对路径回溯被过滤了怎么办，绝对路径能不能直接给，编码一次不行编码两次行不行，参数是不是被拼接进了某个前缀后面。这些都需要在真实代码语境里反复试，光背 payload 没有意义。

课程里这部分会结合代码去看过滤逻辑写在哪一层，因为只有看懂过滤发生在拼接之前还是之后，你才知道该在哪一层做变形。

蓝队视角要补的那一半

只练攻击的人做防御时容易走极端，比如一刀切禁止所有上传，结果业务没法用。这门课在讲完利用之后会回到代码层：白名单该怎么写才靠谱、上传目录为什么要和 Web 根目录分离、文件名为什么不能用用户传来的原始值、下载接口的参数为什么要做映射而不是直接拼路径。这些结论背后都对应着前面演示过的利用手法，理解起来是有因果的，不是背规范。

看完应该能回答什么

• 给定一段上传处理代码，逐行指出校验缺失或失效的位置。
• 面对一个只放行图片的上传点，说出至少三种绕过方向，并说明各自依赖的服务器条件。
• 拿到一个带文件参数的下载接口，列出试探顺序，而不是一上来就狂打回溯。
• 针对同一个上传功能，分别写出攻击侧的利用思路和开发侧的修复改法。

如果这些你现在只能答出一半，就按顺序把课过一遍，每看完一节回到自己的靶场或授权环境里动手复现一次。这个漏洞类型的特点就是「看会了」和「打得通」之间差着一次真实调试。