🔍 文件上传漏洞Java源码审计详解（附代码分析）

文件上传是 Web 应用中极其常见的功能，但一旦实现不当，极易造成严重漏洞，如：上传 WebShell、任意文件写入、远程命令执行等。本篇将从源码审计角度，深入剖析文件上传中关键风险点，包含路径处理、文件大小限制、后缀校验、绕过技巧、白名单误用等，并提供典型实现方式与安全建议。

🧱 文件上传的常见实现方式

✅ 1. Spring MultipartFile 实现

@PostMapping("/upload")public String upload(@RequestParam("file") MultipartFile file) throws IOException {    String fileName = file.getOriginalFilename();    File dest = new File("/upload/dir/" + fileName);    file.transferTo(dest);return"上传成功";}

🔍 问题点分析：

⚠️ 2. 使用 Apache Commons FileUpload（ServletFileUpload）

DiskFileItemFactory factory = new DiskFileItemFactory();ServletFileUpload upload = new ServletFileUpload(factory);List<FileItem> items = upload.parseRequest(request);for (FileItem item : items) {if (!item.isFormField()) {        String fileName = item.getName();        File file = new File("/upload/" + fileName);        item.write(file);    }}

🔍 风险分析与绕过技巧：

• item.getName() 可被伪造，返回值可能为：../../webapps/ROOT/shell.jsp。
• 若直接写入本地文件系统，无适当处理，可能形成 RCE。
• Commons FileUpload 不自带后缀检查，全部靠开发人员自己处理。

☠️ 核心攻击点分析

📁 1. 路径遍历（Path Traversal）

String fileName = request.getParameter("fileName");File file = new File("/upload/" + fileName);

fileName=../../../../webapps/ROOT/shell.jsp

🧨 效果： 上传的文件可能被写入 Web项目根目录 下，造成远程代码执行。

• 禁止文件名中包含 ../、、空格、%编码字符等。
• 使用 file.getCanonicalPath() 与上传目录前缀比对。

File dest = new File(uploadDir, fileName);String canonicalPath = dest.getCanonicalPath();if (!canonicalPath.startsWith(uploadDir.getCanonicalPath())) {thrownew SecurityException("路径非法");  //会判断上传文件的目录是否在合法目录}

📏 2. 文件大小未限制（DoS 风险）

未设置上传大小限制，攻击者可构造超大文件导致内存/磁盘耗尽。

spring:servlet:multipart:max-file-size:10MBmax-request-size:20MB

💣 3.ZIP 炸弹攻击分析

ZIP 炸弹是一种特制的压缩文件：

• 文件体积非常小（几十 KB）
• 解压后数据极大（几个 GB 到 TB）
• 常用于攻击文件上传和解压服务，使 CPU、内存或磁盘瞬间耗尽

攻击者可能上传 20KB.zip，但解压后文件达到 10GB，导致：

• 磁盘被写满
• 内存耗尽或服务器卡死
• 服务完全崩溃

✅ 服务端代码解压前，务必加上以下限制：

1. 限制解压后文件总大小
2. 限制单个文件大小
3. 限制文件数量
4. 检测压缩比（压缩比过高直接拒绝）

import java.io.*;import java.util.zip.ZipEntry;import java.util.zip.ZipInputStream;publicclassSafeZipExtractor{privatestaticfinallong MAX_TOTAL_UNZIPPED_SIZE = 100 * 1024 * 1024; // 100MBprivatestaticfinallong MAX_SINGLE_FILE_SIZE = 50 * 1024 * 1024;    // 50MBprivatestaticfinalint MAX_FILE_COUNT = 100;publicstaticvoidunzipSafely(File zipFile, File targetDir)throws IOException {long totalUnzippedSize = 0;int fileCount = 0;try (ZipInputStream zis = new ZipInputStream(new FileInputStream(zipFile))) {            ZipEntry entry;while ((entry = zis.getNextEntry()) != null) {                fileCount++;if (fileCount > MAX_FILE_COUNT) {thrownew SecurityException("解压文件数过多，疑似 ZIP 炸弹");                }                File newFile = new File(targetDir, entry.getName()).getCanonicalFile();// 防止路径穿越if (!newFile.getPath().startsWith(targetDir.getCanonicalPath())) {thrownew SecurityException("非法路径，疑似穿越攻击: " + entry.getName());                }// 逐步写出解压文件try (FileOutputStream fos = new FileOutputStream(newFile)) {byte[] buffer = newbyte[4096];int len;long singleFileSize = 0;while ((len = zis.read(buffer)) > 0) {                        singleFileSize += len;                        totalUnzippedSize += len;if (singleFileSize > MAX_SINGLE_FILE_SIZE) {thrownew SecurityException("单个文件过大，疑似 ZIP 炸弹");                        }if (totalUnzippedSize > MAX_TOTAL_UNZIPPED_SIZE) {thrownew SecurityException("解压内容总体积过大，疑似 ZIP 炸弹");                        }                        fos.write(buffer, 0, len);                    }                }            }        }    }}

• 使用像 Zip4j 或 Apache Commons Compress 这样的库能获得更多安全控制。

📂 4. 后缀名校验缺失或被绕过

if (fileName.endsWith(".jsp") || fileName.endsWith(".php")) {thrownew SecurityException("禁止上传脚本文件");}

🧨 绕过方式：

List<String> allowExt = Arrays.asList(".jpg", ".png", ".pdf", ".docx");String ext = fileName.substring(fileName.lastIndexOf(".")).toLowerCase();//.的定位也很重要，如果用的不是lastIndexOf定位最后一个.大概率存在问题if (!allowExt.contains(ext)) {thrownew SecurityException("非法文件类型");}

🎭 5. 文件名中“点”的位置及隐藏文件攻击

攻击者可上传如下文件名：

• .htaccess
• .env
• .ssh/authorized_keys
• abc.jsp. （带空格）

🧨 某些系统识别后缀可能失误，或将其当作隐藏文件，或绕过后缀判断。

• 拒绝以点开头的文件（隐藏文件）
• 拒绝多个点或尾部空格（如 file.jsp ）

if (fileName.startsWith(".") || fileName.contains("..") || fileName.trim().endsWith(".")) {thrownew SecurityException("非法文件名");}

🔒 推荐安全上传实现

@PostMapping("/upload")public String secureUpload(@RequestParam("file") MultipartFile file) throws IOException {    String originalName = file.getOriginalFilename();// 后缀白名单    String suffix = originalName.substring(originalName.lastIndexOf(".")).toLowerCase();    List<String> allow = Arrays.asList(".jpg", ".png", ".pdf");if (!allow.contains(suffix)) {thrownew IllegalArgumentException("不允许的文件类型");    }// 随机命名 + 限定目录    String newName = UUID.randomUUID().toString().replace("-", "") + suffix;    File saveDir = new File("/opt/upload/");if (!saveDir.exists()) saveDir.mkdirs();    File dest = new File(saveDir, newName);// 路径校验if (!dest.getCanonicalPath().startsWith(saveDir.getCanonicalPath())) {thrownew SecurityException("非法路径");    }    file.transferTo(dest);return"上传成功";}

🛡️ 审计 Checklist

📌 文件上传总结