WAF真的能完全拦截所有类型的文件上传漏洞攻击吗？

说实话，WAF到底能不能完全拦截所有类型的文件上传漏洞攻击，这事儿还真不好说，补救一下。。

CPU你。 先来聊聊文件上传漏洞是个啥。黑客可以利用这个漏洞往你的网站上传个可疑文件，然后服务器就可能出问题。

比如说你的网站允许用户上传头像，黑客就可以改成*.php之类的脚本，然后直接施行，要我说...。

WAF的基本功能

WAF就是站在网站前面的一道墙， 它会检查进来的请求，看是不是有毒。

如果它觉得有毒，就直接丢掉。WAF的主要功能包括对访问请求进行控制，可以主动识别、阻断攻击流量，在我看来...。

， 识别并阻断SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含等攻击。

WAF如何拦截恶意文件

WAF通过文件类型检查来拦截文件上传漏洞攻击，反正吧…。

它会检查文件名，比如只让.jpg、.png、.gif上去，这叫白名单机制，你没事吧？。

还有一种黑名单机制，就是看到.exe、.php之类的就直接踢出去。

但问题是攻击者总会想办法绕过这些防护措施，我直接好家伙。。

绕过WAF的方法

比如说 修改Content-Type，把它从application/octet-stream修改为白名单内的类型， 勇敢一点... 如image/jpeg，以欺骗服务器的MIME类型检测。

太刺激了。 或者， 利用IIS解析漏洞，在IIS 6.0中，shell.asp;.jpg会被当作ASP文件施行。

还有人会用Unicode编码，比如“%u0065%u0078%u0065”来表示“exe”。

甚至， 把名字里加点奇怪符号，如“file.php;.jpg”，很多规则只匹配到第一个点就算成功了。