思维导图
见 41WEB攻防
知识点：
- 27、文件上传-安全解析方案-目录权限&解码还原
- 28、文件上传-安全存储方案-分站存储&OSS对象
章节点：
Web层面：Web2.0 & Web3.0
语言安全：JS，ASP，PHP，NET，Java，Python等（包含框架类）
OWTOP10：注入，文件安全，XSS，RCE，XXE，CSRF，SSRF，反序列化，未授权访问等
业务逻辑：水平垂直越权，支付签约&购买充值，找回机制，数据并发，验证码&弱口令等
特殊漏洞：JWT，CRLF，CORS，重定向，JSONP回调，域名接管，DDOS，接口枚举等
关键技术：POP链构造，JS逆向调试，NET反编译，JAVA反编译，代码解密，数据解密等
Web3.0：未待完续筹备中….
文件-解析方案-执行权限&解码还原
- 1、执行权限
文件上传后存储目录不给执行权限 - 2、解码还原
数据做存储，解析固定（文件后缀名无关）
文件上传后利用编码传输解码还原
文件-存储方案-分站存储&OSS对象
- 1、分站存储
upload.xiaodi8.com 上传
images.xiaodi8.com 存储 - 2、OSS对象
Access控制-OSS对象存储-Bucket对象
如何判断
实例分析判断
安全绕过
以上方案除目录设置权限如能换目录解析绕过外，其他均无解