2017年，文件危害一个叫“WannaCry”的上传勒索病毒席卷全球，医院、漏洞学校、文件危害工厂的上传电脑屏幕齐刷刷变成红色。很多人以为这是漏洞黑客技术高超，但真相让人大跌眼镜——它利用的文件危害漏洞，本质上是上传Windows系统一个文件共享服务的缺陷，攻击者通过构造恶意文件请求，漏洞就能在目标机器上执行任意代码。文件危害你看，上传连国家级攻击都懒得用花哨手段，漏洞文件上传漏洞更是文件危害如此，它就像你家大门钥匙被复制了一把，上传黑客不需要撬锁，漏洞直接推门进来。

文件上传漏洞的危害，最直接的体现就是“服务器沦陷”。假设你运营一个论坛，用户能上传头像。如果代码没严格校验文件类型，黑客上传一个伪装成图片的PHP脚本——比如把文件名改成“avatar.php.jpg”，某些服务器配置下，这个文件依然会被当作PHP执行。一旦执行，黑客就能在服务器上运行命令，读取数据库密码，甚至把整个网站源码打包带走。更阴险的是，他们可能留下一个“后门”文件，下次想什么时候来就什么时候来，你根本察觉不到。

别以为小网站才倒霉。2015年，某知名云存储厂商被曝出上传漏洞，攻击者通过构造特殊的多媒体文件，直接读取了平台上其他用户存储的私密照片。这已经不是技术问题，而是信任崩塌。用户把文件交给你保管，你却连门都没锁好。

危害的第二层，是“横向渗透”。黑客拿到一台服务器权限后，会把它当跳板。你的网站可能只是个小博客，但服务器所在的局域网里，可能连着公司的财务系统、人事数据库。通过上传漏洞攻破边界设备，再在内网里四处溜达，这种案例在渗透测试报告里屡见不鲜。我见过一个客户，他们的官网被上传了一个图片马，结果黑客顺着内网摸到了ERP系统，差点把生产订单数据全删了。

还有一种容易被忽略的危害——存储型XSS。如果上传的文件是SVG格式（一种矢量图片），里面可以嵌入JavaScript脚本。当其他用户浏览这张图片时，脚本就在他们的浏览器里执行，窃取Cookie、劫持会话。这就像你在图书馆借了一本书，书页里夹着刀片，翻书的人全被划伤。

更让人头疼的是，有些漏洞利用起来毫无痕迹。黑客上传一个超大的压缩包，服务器解压时把磁盘空间占满，网站直接瘫痪——这是拒绝服务攻击的变种。或者上传一个带恶意宏的Office文档，诱导管理员下载打开，从而控制管理员的电脑。文件上传的“文件”二字，意味着攻击面不只是服务器，还包括所有会接触这些文件的人。

说句实话，很多开发者觉得文件上传就是“限制扩展名”这么简单。但黑名单过滤经常被绕过，比如用“php5”“phtml”这种冷门后缀，或者利用服务器解析差异。真正有效的做法是白名单校验、重命名文件、用对象存储隔离执行权限——但很多人嫌麻烦。这就像知道家里要装防盗门，却只挂了个布帘子，还安慰自己“小偷不会来”。

文件上传漏洞的破坏力，从来不取决于网站大小，而取决于黑客的想象力。你上传的每一份文件，都可能成为撬开你系统的杠杆。别等到服务器被种了挖矿木马、数据被加密勒索，才后悔当初没多写几行校验代码。

(责任编辑：时尚)