文章总结： 本文介绍了文件上传漏洞中服务端后缀名检测的原理与绕过方法，重点演示了利用Windows系统特性（在文件名末尾添加点【.】）绕过黑名单检测的技术。通过实验环境（Win10操作机与Apache+PHP靶机）展示了从抓包修改后缀名到成功上传并解析恶意脚本文件的全过程，揭示了仅依赖黑名单检测的不足。建议在文件上传功能中采用白名单校验、结合内容检测等多层防御策略，并注意不同操作系统特性差异。 综合评分： 78 文章分类： WEB安全,渗透测试,实战经验
网安每日干货分享《后缀名检测与绕过之Windows特性（末尾的点【.】）绕过》-0226
原创
建哥聊安全 建哥聊安全
建哥聊安全
2026年2月26日 08:00 湖南
后缀名检测与绕过之Windows特性（末尾的点【.】）绕过
实验目的
通过本实验，掌握文件上传服务端检测中的后缀名的检测原理以及绕过方法。
实验环境
·操作机：Win10 用户名：Administrator 密码：Sangfor!7890
·靶机：Apache + PHP
·实验地址：http://ip/upfile/2/upload3.html
实验原理
文件上传从客户端进行检测显然是防护不足的，所以需要从服务器端进行防护。 服务端的检测与绕过方法有很多，常见的有：
-
后缀名检测绕过
-
MIME类型检测与绕过
-
文件内容检测与绕过
-
00截断绕过
-
条件竞争检测与绕过
后缀名检测的绕过方法也有很多，常见的有：
-
黑名单–大小写绕过
-
黑名单–名单列表绕过
-
黑名单–Windows特性（末尾的点【.】）绕过
-
黑名单–Windows特性（空格【 】）绕过
-
黑名单–Windows特性（::$DATA）绕过
-
白名单（需要结合文件包含漏洞或者Web服务器解析漏洞）
-
.htaccess文件攻击–匹配文件内容
-
.htaccess文件攻击–配置文件名中的关键字
-
.htaccess文件攻击–匹配文件名
-
Apache解析漏洞
一些特殊的文件命名方式在Windows下是不被允许的，利用Burp Suite工具抓包修改后缀名，绕过服务端的验证后上传文件，Windows会自动去掉后面添加的。 注：此方法只适应于Windows，因为Unix/Linux系统没有这个特性。
实验步骤
1、登录操作机，打开浏览器，输入实验地址：http://ip/upfile/2/upload3.html
2、在操作机上准备要上传的文件（脚本文件），比如新建info.php文件
3、点击“选择文件”按钮，选中要上传的文件
4、点击“submit”按钮，文件上传失败，此文件不允许上传
5、尝试利用大小写绕过，将脚本文件info.php更改为info.pHp，以及尝试寻找黑名单列表之外可允许上传的文件后缀名进行绕过，将脚本文件info.php更改为info.php3或者info.phtml，再次选择脚本文件上传，依然失败，此文件不允许上传
6、打开桌面的的“Burp”文件夹，双击“BURP.cmd”启动Burp Suite抓包工具
7、切换到“Proxy”代理模块的“Options”，查看Bp的代理
8、切换到浏览器，选择火狐插件中的代理（配置浏览器的的代理），与Bp的代理一致
9、点击“submit”按钮，再次上传文件，Bp成功抓取数据包
10、利用Windows特性，给文件名加“.”绕过服务端后缀名的检测，将数据包中的后缀名info.php改为info.php.
11、点击“Forward”，转发数据包，切换到浏览器，脚本文件成功上传
12、关闭浏览器代理
13访问http://ip/upfile/2/upload/info.php.（
访问http://ip/upfile/2/upload/info.php也可以），上传的脚本文件成功解析
实验总结
掌握文件上传的服务端检测中的后缀名检测原理，“【.】”在Windows下是不被允许的，利用Burp Suite抓包在文件后缀名处添加“【.】”，绕过服务端的验证后上传文件，Windows会自动去掉后面添加的点（【.】）。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：建哥聊安全 建哥聊安全 建哥聊安全《网安每日干货分享《后缀名检测与绕过之Windows特性（末尾的点【.】）绕过》-0226》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论