用户上传的文件名和文件内容是否会对服务器造成攻击？是否可能存在安全问题？

Question

给政府部门做了一套管理系统，后来要求我们整改安全隐患问题。其中一点要求限制用户上传的文件名中不能包含特殊字符。

那真有这种通过上传的文件攻击服务器的可能么？

Answer 1

不必怀疑，“任意文件上传”是一种漏洞类型，对上传的文件加以限定是必要的。
上传的文件如果包含恶意代码，且在后端执行，往往会导致攻击者拿到 WebShell。

你可能会想，这与文件名有什么关系呢？有的。
首先是文件名中包含的代码也有可能被执行到。
其次，文件名中的特殊字符可能导致你的文件上传检查失效，例如 CVE-2015-2348。

回答者：
YvesX @ 创宇前端

Answer 2

比如往jsp站点传一个"../../../../test.jsp"文件？