技能介绍

要解决什么问题

文件上传接口的漏洞从来不在"能不能传上去"，而在传上去之后发生了什么。只校验扩展名的过滤器，面对大小写混淆、双扩展名、MIME 欺骗几乎形同虚设；即便文件落盘，路径可预测、目录穿越、多租户覆盖又会打开第二层入口。更关键的是处理链：图片解析器读取 EXIF 中的嵌入代码、SVG 在浏览器上下文中渲染、XML 导入触发 XXE、媒体转换管道拼接系统命令——上传本身只是起点，真正的目标是文件进入业务流程之后的攻击面。

技能如何工作

这个技能把一次完整的上传攻击拆成可执行的步骤：

枚举上传面：确认目标接受哪些文件类型——头像、媒体、文档、压缩包、导入接口
验证绕过：针对扩展名过滤、MIME 检查、魔数校验逐一尝试混淆手法
存储路径滥用：利用可预测路径、文件名中的 ../ 穿越、跨租户覆盖写入他人目录
上传后访问：拿到存储后的文件直链，验证能否直接访问或触发解析
处理链利用：对图像、SVG、XML、文档处理器分别测试 XSS、XXE、CMDi 等下游影响
逻辑链组合：把上传与配额、审批、覆盖规则等业务逻辑缺陷串起来，放大影响

适用边界与注意点

仅供授权测试：所有绕过与利用手法只应在合法授权范围内使用，破坏性 payload 需谨慎。
需要配套场景文件：涉及 IIS ; 截断、Nginx cgi.fix_pathinfo、Apache 换行符绕过、Tomcat PUT 写入、WebLogic/Flink 特定 CVE 等 Web 服务器解析漏洞时，需加载 SCENARIOS.md 获取细节。
与其他技能联动：路径穿越、XSS、XXE、命令注入、业务逻辑漏洞均有独立技能，遇到对应场景应按路由加载；针对 Tomcat 且 WAF 拦截 .jsp 的场景，可结合 ghost-bits-cast-attack 处理 Unicode 窄化绕过。