注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

火山左儿

学无止境

 
 
 

日志

 
 

先锋上传类(无惧2.0杜绝上传漏洞修改版) - clsUp V2004 使用手册  

2010-11-08 10:01:25|  分类: 计算机应用问题 |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |
clsUp 概述
'-----------------------------------------------------------------------------------------
'******************* 先锋无组件上传类(杜绝上传漏洞版) Ver2004 ********************
'作者:梁无惧、孙立宇、apollosun、ezhongh
'官方网站:http://www.lkstar.com (http://www.lkstar.com/) 技术支持论坛:http://bbs.lkstar.com (http://bbs.lkstar.com/)
'电子邮件:kickball@netease.com 在线QQ:94294089
'版权声明:版权没有,盗版不究,源码公开,各种用途均可免费使用,欢迎你到技术论坛来寻求支持。
'网上流行的所有的无组件上传类都有该类漏洞――黑客利用抓包嗅探、ULTRAEDIT和“网络军刀”
'等黑客工具伪造IP包,可以突破服务器端对上传文件名、路径的判断,从而巧妙上传ASP、ASA、CGI、CDX、
'CER、ASPX类型的网页木马。本人仔细分析了各种黑客手段,针对网上最流行的无惧上传类进行修改,
'在写入服务端的最后关键使黑客的如意算盘付之东流.目前提供的这个类完全堵上了上传漏洞,请放心使用!
'详细使用说明或范例请见下载附件或到本人官方站点下载!
'-----------------------------------------------------------------------------------------

clsUp 公共属性

File
文件域的集合,是一个Dictionary 对象,返回值一个clsFileInfo 类。可读写。

Form
表单域的集合,是一个Dictionary 对象,返回对应表单域的值。可读写。

isErr
返回错误的数值。-1表示无错,1表示没有上传数据,2表示上传超出限制。只读。

Version
获取类的版本信息。只读。

AllowExt
白名单,允许上传的文件类型,可以在类文件里预设可上传的文件类型,以文件的后缀名来判断,不区分大小写,每个后缀名用“;”号分开。如AllowExt="jpg;rar;zip"。可读写。

NoAllowExt
黑名单,不允许上传的文件类型,可以在类文件里预设不可上传的文件类型,以文件的后缀名来判断,不区分大小写,每个后缀名用“;”号分开。如NoAllowExt="asp;htm;html;js;"。可读写

ErrMessage
错误信息,在发生错误时,可以调用ErrMessage显示错误的字符串信息。只读。

clsUp 公共方法
GetData(MaxSize As Int64)
分析上传的数据。MaxSize为限制上传的字节,设为-1即不限制大小,此为过程,没有返回值,调用后调检查isErr是否大于0。

SaveToFile(Item As String,Path As String)
保存到文件,自动覆盖已存在的同名文件,Item为表单项名,Path为保存的绝对路径,返回值为保存的文件名。

AutoSave(Item As String,Path As String)
保存到文件,自动创建文件名以避免重复,Item为表单的名,Path为保存的绝对路径(可不包含文件名,如e:\wwwroot\upimg\),返回值为保存的文件名。

FileData(Item As String)
取得文件数据,Item为表单项名

GetFilePath(FullPath As String)
返回文件在路径,如GetFilePath("c:\a.asp") 返回值为"c:\"。

GetFileName(FullPath As String)
返回文件名,如GetFileName("c:\a.asp") 返回值为"a.asp"。

GetFileExt(FullPath As String)
返回文件的后缀名,如GetFileExt("c:\a.asp") 返回值为"asp"。

GetNewFileName()
返回一个以时间种子的不重复数值,可以用作文件名。

isAllowExt(Ext As String)
返回一个真假值指是Ext是否为可上传的类型,如isAllowExt("jpg")。

clsUp 受保护方法
SaveToFileEx(Item As String,Path As String,Over As bool)
保存到文件,其中Over指示如果文件存在是否覆盖,如果OVER为真时,文件按PATH来保存,如果OVER为假,则自动调用 GetNewFileName() 生成一个新的不重复的文件名,以上传时的后缀名保存。

clsFileInfo 概述
文件信息类,用来存贮上传的文件信息

clsFileInfo 公共属性
FileName
返回上传的文件名。

FilePath
返回上传时文件在客户端的路径。

FileExt
返回文件扩展名。

FileMIME
返回文件MIME类别。

FileSize
返回文件大小(以字节为单位)。

Dictionary 对象 请参考VBSCRIPT帮助取得更详细的属性和方法
clsUp 特性

版本更新
无惧0.96 第一个公开版本,以新的解析方法达到速度上的一个提升,修改稻香老农的无组件上传类,以达到完全兼容。

无惧1.0 发现原版中一个无法避免的BUG,会导至黑客利用服务器在上传其间会占用100%CPU资源来达到拒绝服务攻击,故修改了原来的设用方法,增加一个GetData来在实际上传数据前对上传文件的大小进行判断,防止被上传超大文件。至于其它的改变,忘掉了。

无惧1.2 修改了1.0中的一些错误命名(俺的英语不好),整理部分代码和加入更多对代码的注释。
无惧2.0 更加稳定和更安全,加入了上传类型的黑白名单,自动保存,修改了文件类中的一个属性,原为FileType现在改为FileMIME,增加了几个常用的方法。

先锋ver2004 彻底解决黑客抓包嗅探本地伪装上传IP包突破文件名、路径的特大漏洞(参考附件),此为最安全版本。

使用中的一些问题解答
1、什么时候用AutoSave和SaveToFile?
AutoSave是自动生成新的文件名以避免与服务器上的原文件同名,而SaveToFile则是覆盖存在的文件,所以,如果你上传的文件需要覆盖原文件的时候,那么就调用SaveToFile,如果你上传的文件不需要覆盖存在的文件,那么就调用AutoSave,该函数会返回所保存的文件名。

2、为什么不提供自全部保存?
我不太相信大家用上传类时不需要对文件进行处理,那么提供全部保存与分别保存并没有什么太大的区别,在能少不多的情况下,我没有加入这个功能。

3、为什么我保存的时候会提示“该类型不允许上传呢”?我没有执行判断啊!
这是因为程序内部进行了判断,为了防止由于外部调用代码的BUG而导至判断上传类型失效,在内部的保存和取得数据都自动进行了文件类型的判别,如果黑名单存在,则白名单不起作用,这是为了方便一些程序的使用,因为有些时间只需要禁止几个上传类型即可,而不需要对每个上传类型进行判别。

4、先锋2004怎么防黑的?能具体讲一下吗?

――前一阵子出了个天字号特大漏洞,无数网站被非法上传ASP木马(尤其是动网论坛),问题主要是出在电脑不能正确判断含有“\0”二进制字符文件名或路径,可以本地抓包嗅探流文件并用二进制编辑器伪装IP包通过网络军刀上传(黑到这个份上,真是聪明绝顶),现在这个问题依然广泛存在,现在我们从类本身将此隐患彻底根除,就比较安全了。详细方法见附件,请你细细体会。

关于网友的一些问题
1、为什么上传的时候会出现无效页?
这是因为IE的BUG所导至的,目前尚没有更好的解决方法,原理是:当客户端提交表单时,IE会首先发把上传的总大小传到服务器,而这时服务器开始执行ASP代码,当运行到GetData方法时,会首先判断上传的总大小是为超过程序预设大小,如果没有,则开始执行上传,这时IE才真正开始上传数据,但是如果上传的总大小为超过程序预设大小,那么程序自动放弃读取并退出执行,这时上传并没有真正开始,虽然服务器返回了错误信息给IE,但是IE由于设计当初没有考虑到服务器会拒绝表单的上传,故IE会继续等待服务器的上传回应,由于服务器已经终止上传,IE就会以为服务器没有响应而出现无效页的错误了。

2、为什么从1.2马上升到了2.0?好像代码改得不多啊!
这是因为大家都喜欢高版本,我巴不得改为7.0呢,那样大家都会觉得这个版真高级。。。。-_-||

3、为什么先锋2004版申明“版权没有、盗版不究”呢?

――因为这个版权本来就是梁无惧的,本人只是稍作修改,补上了特大漏洞,为了尊重梁前辈,所以就这样吧!嘿嘿!梁前辈不要怪我哦。(孙立宇)

使 用 示 例
上传文件的表单要加入enctype="multipart/form-data"属性,即
<form name="form1" method="post" action="" enctype="multipart/form-data">
<input type="text" val="1" name="name">
<input type=file name="img">
<input type=s mit name="s mit" val="提交">
</form>

在执行上传的ASP页
'包含类文件
<!-- #incl? file="clsUp.asp" -->
dim upfile
dim SaveFilename
'建立上传对象
set upfile=new clsUp
'取得上传数据,限制最大上传10M 计算方法为 10240000/1000000=10.24M
upfile.GetData (10240000)
'判决是否出错
if upfile.isErr then
select case upfile.err
case 1
Response.Write "你没有上传数据呀???是不是搞错了??"
case 2
Response.Write "你上传的文件超出我们的限制,最大10M"
end select
else
'执行保存文件代码
upfile.SaveToFile "img","c:\"&upfile.file("img").filename
'执行自动保存文件代码,SaveFilename为保存的文件名
SaveFilename=upfile.AutoSave "img","c:\"
'销毁对像
set upfile=nothing
end if
  评论这张
 
阅读(412)| 评论(0)
推荐 转载

历史上的今天

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2018