卧虎藏龙

上传目录变后门温床：三招封死WebShell上传_我的网站

A |     圣淘沙名胜世界博彩营运总裁安德鲁·麦克唐纳被下“禁客令”，禁止进入滨海湾金沙。（图：Facebook/Andrew MacDonald）被指试图挖走前东家滨海湾金沙的高净值玩家，圣淘沙名胜世界博彩营运总裁被下“禁客令”，禁止进入滨海湾金沙。根据《亚博汇》报道，圣淘沙名胜世界博彩营运总裁安德鲁·麦克唐纳（Andrew MacDonald）本月19日在社交媒体Facebook上自揭，收到前东家发出的“不受欢迎人士”（Persona Non Grata，简称PNG）通知。禁止他进入滨海湾金沙综合娱乐城赌场、酒店、商场和会议展览中心等区域的通知是在2024年7月31日发出，通知将持续有效直至另行通知。如果他试图进入上述区域或在这些区域逗留，滨海湾金沙保留采取法律行动的权利。    

　    一键部署OpenClaw        WebShell最常见的落地方式不是直接攻破服务器，而是通过上传功能把脚本文件传上去。

B | 图片上传、头像上传、附件上传，只要后缀没校验好，就可能变成木马的入口。    

C | 不能只看扩展名，jpg/png都有固定文件头，用PHP的getimagesize或者Python的imghdr可以识别真伪。据《亚博汇》探知，滨海湾金沙向麦克唐纳发出这个通知，是因为担心他在7月底几次到访试图挖走金沙的顾客和员工。    第二招是重命名文件，把用户上传的文件名换成随机字符串，不让原始文件名执行。    

        
$info = getimagesize($_FILES['file']['tmp_name']);
if (!$info || !in_array($info[2], [IMAGETYPE_JPEG, IMAGETYPE_PNG, IMAGETYPE_GIF])) {
 exit('仅允许上传图片');
}
 
$ext = image_type_to_extension($info[2], true);
$save_name = md5(uniqid()) . $ext;
move_uploaded_file($_FILES['file']['tmp_name'], '/upload/' . $save_name);
?>

D | 上传目录只读、不执行任何脚本，木马传上来也跑不起来。麦克唐纳在赌场行业拥有40多年的经验，曾经在滨海湾金沙工作将近12年，包括担任企业高级副总裁兼博彩营运总裁，直到2021年底辞职。这是最后一道防线，必须做。    # Nginx：上传目录禁止脚本执行    location ^~ /upload/ {    location ~ \*\.(php|php5|phtml|asp|aspx|cer|jsp)$ {    deny all;    }    }    # IIS：在处理程序映射里删除上传目录的脚本映射，或在web.config中加规则    数据来源：OWASP文件上传安全指南、Nginx官方location匹配文档

申请创业报道，分享创业好点子。点击此处，共同探讨创业新机遇！。他在大约12个月后加入圣淘沙名胜世界，担任博彩营运总裁，并且也是圣淘沙名胜世界的董事。麦克唐纳接受《亚博汇》访问时否认试图挖走玩家或员工，并声称在相关期间的所有拜访纯属社交性质。麦克唐纳称，他是因为好友、墨尔本皇冠酒店（Crown Melbourne）前高层迈克·苏格鲁（Mike Sugrue）从澳大利亚到访，他才会到滨海湾金沙。他也承认在滨海湾金沙跟两名相识的高净值玩家进行交谈，但他表示，这些互动纯属巧合，而非由他主动。麦克唐纳和苏格鲁都表示，他们也碰到许多目前在滨海湾金沙工作的员工，有些人还帮他们订了餐馆。

E | 麦克唐纳也证实，他在7月22日曾到滨海湾金沙赌场内的汤点面家用餐，7月26日再次到访赌场。

F | 报道指出，一家赌场向另一家赌场的高管发出“不受欢迎人士”通知或类似禁令是极为罕见的，这在新加坡的双赌场垄断局面中更是闻所未闻。

G | 麦克唐纳在滨海湾金沙和圣淘沙名胜世界都有担任高层的经历，本身就很独特。滨海湾金沙答复《亚博汇》询问时表示，不会轻易决定禁止任何人进入。公司有严谨的程序评估是否应该这么做，而这种决定背后的考量因素是保密的。

H |

Current article:http://kpd.guizhuanguchuanluanzhoudi.shop/list_1gnir/twtm5a.html

Published on:18:58:33