文件上传漏洞防护：实测能落地的实用技巧汇总

那些年栽过的文件上传漏洞坑

有没有人跟我一样，之前踩过文件上传的大坑？说白了这事儿就像你家楼下的快递柜，大门没锁，人家随便塞个带病毒的快递进去，还能假装是你买的东西，直接引爆。之前帮开奶茶店的朋友修他的小官网，就是因为上传头像的地方没做好，最后被挂了挖矿脚本，服务器被占满算力，哭着找我救。

别再只靠改后缀名防上传了

很多人觉得把.php改成.php1、.phpx就安全？太天真了！黑客用个简单的Burp Suit就能把后缀改回来，就像你把快递单号涂了，人家还是能改过来，照样塞恶意文件进去。我见过最离谱的，某个人的网站直接把所有.php都改成.txt，结果人家直接访问http://xxx.com/木马.txt，服务器直接执行，把用户的积分全刷没了。

真·能落地的防护干货

后端校验比前端靠谱一万倍

别再依赖浏览器的前端校验了！前端就像小区门口的保安只认识穿制服的，黑客换个浏览器或者抓包就能绕过。必须把校验逻辑放在服务端（比如PHP、Node.js、Java后台），这才是真正能拦住人的防火墙。比如用户选了一张图片，后端要真的去读文件的内容，不是只看它带的文件名后缀。

文件类型校验别只看后缀

除了后端校验，还要看文件的“真实身份”——也就是文件头，每个合法文件都有自己的身份标识，比如JPG的文件头是FF D8 FF，PNG是89 50 4E 47，GIF是47 49 46 38。我写过个简单的校验脚本，分享给你们：

```php // 核心校验逻辑，仅允许JPG/PNG/GIF图片 $filePath = $_FILES['userfile']['tmp_name']; // 读前4个字节（足够判断大部分图片类型） $fileHeader = bin2hex(file_get_contents($filePath, false, null, 0, 4)); $allowedHeaders = [ 'ffd8ff', // JPG '89504e', // PNG '474946' // GIF ]; if (!in_array(strtolower($fileHeader), $allowedHeaders)) { die("这文件不是图片，不能上传！"); } ```

别小看这个，之前有个做电商的客户，就是靠这个拦住了上千次恶意文件上传，黑客换后缀没用，改文件头也没那么容易。

上传目录绝对不能有执行权限

这是最最最关键的！就像你把炸弹放在家门口，结果门口还有导火线，人家一点就炸。上传文件的目录必须设置为仅读、写，绝对不能有执行权限。比如用Nginx的话，直接给上传目录加个规则，禁止解析任何脚本：

```nginx Nginx配置：禁止上传目录执行脚本 location ~ ^/upload/.\.(php|php5|asp|jsp)$ { return 403; 直接返回403，阻断脚本执行 } ```

要是用Apache的话，就在上传目录里放个.htaccess文件，写上php_flag engine off，直接把PHP解析关了，绝了。

随机重命名文件名，别留原后缀

很多人上传文件的时候，直接用用户原来的名字，比如用户传了avatar.jpg，服务器就存成avatar.jpg，结果黑客上传了木马.php，改个名字叫avatar.php，直接访问就能执行。不如把文件名换成随机字符串，比如用uniqid()生成，再加上正确的后缀，比如123abc.jpg，这样就算有恶意文件，名字乱了，黑客也找不到执行的入口，等于给快递写匿名，没人敢随便拿。

最后碎碎念

说白了，文件上传防护不是靠“堵”，是靠绕开黑客的老套路。别再用那种敷衍的土方法了，之前帮朋友救过一个被挂马的博客，就是因为用了改后缀的方法，一天内被黑了三次，差点哭晕。其实就记住几个关键点：后端校验、看文件头、禁执行权限、随机重命名，足够拦住99%的新手黑客了，真的！