【文档库】 附件上传漏洞

zxiaojian

一：漏洞描述
文件上传漏洞通常由于代码中对文件上传功能所上传的文件过滤不严或web服务器相关解析漏洞未修复而造成的，如果文件上传功能代码没有严格限制和验证用户上传的文件后缀、类型等，攻击者可通过文件上传点上传任意文件，包括网站后门文件（webshell）控制整个网站
二：处理方式
2.1 更新文档库服务(该服务使用的端口为1430，常用名称包含file或doc等关键字，各项目地服务命名可能不同，可以根据使用的端口找到相应的服务)
文档库服务更新至2024年9月5号之后的版本，如版本太老，请联系质量部推送新镜像。参考的镜像地址：registry.ly-sky.com:5000/dev/ly-file-server:1.2
2.2在配置文件（ly-cloud-common-docrepo-dev.yml）中设置白名单，在该文件最末追加配置即可。
白名单配置

1. writeList:
   
2.   fileType : webp,baibmpdu,pcx,tif,gif,jpeg,tga,exif,fpx,svg,psd,cdr,pcd,dxf,ufo,eps,ai,png,hdri,raw,wmf,flic,emf,ico,doc,xls,ppt,docx,xlsx,pptx,pdf,wmv,asf,asx,rm,rmvb,mp4,3gp,mov,m4v,avi,dat,mkv,flv,vob
   

复制代码

这个代码拷贝下来格式有点问题，可以粘贴到notepad++调整，fileType前面应该有两个空格。

2.3 重启文档库服务

huangchuangbin

牛批

cwx

## 需要限制上传的文件类型,白名单和黑名单
backList:
  fileType : asp,aspx,asp,aspx,asa,asax,ascx,ashx,asmx,cer,aSp,aspx,asa,asax,a5cx,ashx,a5mx,cer,php;php;php5,php4,php3,php2,php;plp5,plip4,exe,jsp,asp,html,htm
writeList:
  fileType : webp,baibmpdu,pcx,tif,gif,jpeg,tga,exif,fpx,svg,psd,cdr,pcd,dxf,ufo,eps,ai,png,hdri,raw,wmf,flic,emf,ico,doc,xls,ppt,docx,xlsx,pptx,pdf,wmv,asf,asx,rm,rmvb,mp4,3gp,mov,m4v,avi,dat,mkv,flv,vob