PHP shell, ASP webshell ve çift uzantılı dosyaların yüklenip yüklenemeyeceği test edilir. Dosya tipi doğrulama ve eksekütabl koruma analiz edilir.
Dosya yükleme güvenliğini etkileyen tüm kritik vektörler sistematik olarak analiz edilir.
Gerçek tarama sonuçlarından örnek güvenlik bulguları.
Üç adımda kapsamlı dosya yükleme güvenlik analizi.
Bulgular dört farklı risk seviyesine göre sınıflandırılır.
Anlık müdahale gerektiren, tam sistem ele geçirme riski taşıyan açıklar. PHP shell yükleme bu kategoridedir.
Ciddi veri ihlali veya uygulama ele geçirme potansiyeli olan açıklar. SVG XSS ve MIME bypass bu kapsamdadır.
Sömürülmesi için ek koşul gerektiren veya sınırlı etkili açıklar. Dizin listeleme bu kategoridedir.
Test edilen bileşen doğru yapılandırılmış, bilinen saldırı vektörlerine karşı korumalı.
Dosya yükleme güvenliği hakkında merak edilenler.
Başarılı bir dosya yükleme saldırısında saldırgan sunucuya PHP shell yükler ve tam sistem erişimi elde eder. Web uygulamalarındaki en tehlikeli açıklardan biridir.
Hayır. Uzantı kolayca manipüle edilebilir. Uzantı + MIME type + magic byte (dosya imzası) kontrolü birlikte uygulanmalı ve uploads dizininde PHP çalıştırma engellenmelidir.
Yalnızca gerçekten ihtiyaç duyulan türlere (örn. jpg, png, pdf) whitelist ile izin verin. PHP, .phtml, .phar, .asp, .aspx gibi çalıştırılabilir uzantıları kesinlikle reddedin.
SVG, XML tabanlı bir format olup içine script etiketi gömülebilir. Yüklenen SVG doğrudan tarayıcıda açılırsa XSS gerçekleşir.
Uploads dizinine .htaccess ile PHP çalıştırmayı engelleyin, dosyaları web root dışına kaydedin ve rastgele isimle yeniden adlandırın.
Dosya yükleme açıklarını dakikalar içinde tespit edin.