这是一个创建于 3530 天前的主题，其中的信息可能已经有所发展或是发生改变。
web应用，用户构造请求上传文件，传输完成后，这样在php进行处理之前文件已经存在于服务器的临时目录里了，以phpXXX之类的文件命名，之后脚本处理完成，该文件从临时目录里删除，是这样的流程对吧？
问题来了，由于上传的临时可以是任何文件，当然可以是病毒，于是就有不少这种上传漏洞的机器人，服务器装了个赛门铁克，运维每隔几天给我发邮件，说临时目录发现病毒。我只能看访问日志屏蔽非法上传的ip，（吐槽一下，运维太渣渣，连根据请求头的host和url屏蔽请求也做不到。）好烦，问大家有没什么好的办法。
问题来了，由于上传的临时可以是任何文件，当然可以是病毒，于是就有不少这种上传漏洞的机器人，服务器装了个赛门铁克，运维每隔几天给我发邮件，说临时目录发现病毒。我只能看访问日志屏蔽非法上传的ip，（吐槽一下，运维太渣渣，连根据请求头的host和url屏蔽请求也做不到。）好烦，问大家有没什么好的办法。
第 1 条附言 · 2015-04-15 13:09:16 +08:00
上传到临时目录后才能用php处理，此后php进行安全处理自不多言，问题是发生在文件刚上传到临时目录，没经过php处理前。杀软报警，其实我觉得不需要在意这个警报，倾向2楼的方案，但说服运维是个问题，他连http请求头都不知道的，而且认死理，坚持认为网站有漏洞，这个更不知道怎么让他理解
 |
1
MeirLin 2015-04-14 20:27:19 +08:00  1
上传的时候加验证，只接受白名单的格式 当然这得看你业务需要了，还有上传的目录一定要做好权限 最好和站点分离
tips： http://sebug.net/node/t-16 http://sebug.net/paper/other/%E4%B8%8A%E4%BC%A0%E9%AA%8C%E8%AF%81%E7%BB%95%E8%BF%87.pdf |
 |
2
Septembers 2015-04-14 20:28:35 +08:00 1
临时目录仅给予读写权限并限制组 确保没有执行权限
设置 赛门铁克 忽略该临时目录 |
 |
3
Tianpu 2015-04-14 21:45:46 +08:00
检查下mine-type 然后没有执行权限
|
 |
4
ryd994 2015-04-14 23:33:39 +08:00
mount noexec
|
 |
5
dong3580 2015-04-15 01:21:38 +08:00 via Android
代码过滤后缀，服务器做文件夹映射。另外上传我向来是映射到另一个盘的文件夹的，而且设好该文件夹权限。
|
 |
6
NewYear 2015-04-15 08:24:20 +08:00
楼主你好，请你下次处理上传文件的时候，把文件名和其他信息自己存起来……这在代码里不难实现吧（这么简单！你也说上传后php是要处理的！php处理的时候顺便把相关信息也发射一个到数据库里就好啦！）
那么运维会不会也是这样想的呢？所以能不依赖别人就不依赖 |
 |
7
gamexg 2015-04-15 18:11:08 +08:00
上传到第三方就不需要担心病毒了。
|
Select Language