防范Java中的文件上传漏洞

1. 文件上传漏洞的危害

文件上传漏洞是指攻击者通过上传恶意文件来执行恶意代码，从而控制服务器或获取目标用户的信息。文件上传漏洞可以导致以下问题：

服务器被控制：攻击者可以上传恶意文件到服务器上，从而获取服务器权限，控制服务运行和操作服务器。

数据泄露：攻击者可以通过上传恶意文件获取服务器上的敏感信息，如用户密码、数据库等。

篡改页面：攻击者可以通过上传恶意文件篡改网站页面信息，诱导用户进行各种欺骗操作。

在Java开发中，文件上传漏洞也比较常见，如何防范文件上传漏洞需要我们特别关注。

2. 防范文件上传漏洞的方法

2.1 文件类型校验（客户端校验+服务端校验）

文件类型校验是指通过判断上传文件的后缀名或者文件头的信息来判断文件类型是否符合要求，如果文件类型不符合要求，则拒绝上传文件。

在前端页面，可以使用原生JavaScript或者第三方插件jQuery Uploadify等实现文件类型校验功能。

在后端，可以使用Java提供的文件类型判断工具库FileTypeJudge等实现文件类型校验功能。如下代码示例实现了一种校验方法。

import java.util.Arrays;
import java.util.List;
public class FileTypeJudge {
    private static final String[] image = { "jpg", "jpeg", "png", "bmp", "gif" };
    private static final String[] video = { "avi", "mp4", "flv", "mpg", "wmv" };
    private static final String[] document = { "doc", "docx", "xls", "xlsx", "ppt", "pptx", "pdf", "txt" };
    public static boolean judgeFileType(String fileName, String[] types) {
        List<String> typeList = Arrays.asList(types);
        String suffix = fileName.substring(fileName.lastIndexOf(".") + 1);
        return typeList.contains(suffix);
    }
    public static boolean isImage(String fileName) {
        return judgeFileType(fileName, image);
    }
    public static boolean isVideo(String fileName) {
        return judgeFileType(fileName, video);
    }
    public static boolean isDocument(String fileName) {
        return judgeFileType(fileName, document);
    }
}

2.2 文件大小限制

除了文件类型校验，还需要对上传文件的大小进行限制，一般可以在前端实现客户端的校验，也可以在后端进行服务端的校验。Java提供的ServletRequest类的getInputStream()方法可以获取上传文件的大小。

以下是一个实现文件大小限制的Java代码示例。

public class FileSizeLimitInterceptor extends HandlerInterceptorAdapter {
    private long maxSize;
    public void setMaxSize(long maxSize) {
        this.maxSize = maxSize;
    }
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
            throws Exception {
        long fileSize = request.getContentLength();
        if (fileSize > maxSize) {
            String message = "<strong>文件大小超过限制。</strong>";
            request.setAttribute("message", message);
            request.getRequestDispatcher("/file/upload/error").forward(request, response);
            return false;
        }
        return true;
    }
}

以上代码中，maxSize可以在配置文件中通过注入的方式设置。在preHandle()方法中，获取上传文件大小，如果超过maxSize，则拒绝上传。

2.3 文件存储路径

文件存储路径需要选择一个相对安全的位置，并且需要使用随机文件名。通常情况下，文件上传后会存储在服务器的文件系统中，为了防止文件直接访问导致服务器被攻击，需要添加一些限制，如使用不可预测的随机文件名、禁止直接访问目录等。

以下是一个实现文件存储路径的Java代码示例。

public class FilePathInterceptor extends HandlerInterceptorAdapter {
    private String path;
    public void setPath(String path) {
        this.path = path;
    }
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
            throws Exception {
        String basePath = request.getSession().getServletContext().getRealPath(path);
        File base = new File(basePath);
        if (!base.exists()) {
            base.mkdirs();
        }
        if (!base.isDirectory()) {
            throw new IOException("Path [" + basePath + "] is not a directory.");
        }
        String fileName = UUID.randomUUID().toString();
        File file = new File(base, fileName);
        request.setAttribute("file", file.getAbsolutePath());
        return true;
    }
}

以上代码中，path可以在配置文件中注入，用于指定上传文件存储的目录，basePath表示存储的绝对路径，如果目录不存在，则创建目录，之后在此目录下使用UUID生成随机文件名，返回文件的绝对路径。

2.4 文件内容校验

文件上传成功后，需要对其进行检查，确保文件没有被篡改、压缩包没有被恶意加密等。文件内容检查可以进行MD5检验等，保证文件的完整性。

以下是一个实现文件内容校验的Java代码示例。

public class FileMD5Interceptor extends HandlerInterceptorAdapter {
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
            throws Exception {
        String md5 = request.getHeader("Content-MD5");
        if (!StringUtils.isEmpty(md5)) {
            InputStream inputStream = request.getInputStream();
            byte[] bytes = Files.readAllBytes(Paths.get(URI.create(inputStream.toString())));
            String calculatedMD5 = DigestUtils.md5Hex(bytes);
            if (!md5.equals(calculatedMD5)) {
                String message = "<strong>文件内容校验失败。</strong>";
                request.setAttribute("message", message);
                request.getRequestDispatcher("/file/upload/error").forward(request, response);
                return false;
            }
        }
        return true;
    }
}

以上代码中，获取上传文件的MD5信息，如果MD5不为空，则读取上传文件的二进制流并计算MD5，如果计算出的MD5与传输过来的MD5不一致，则拒绝上传。

2.5 SpringMVC文件上传安全策略

在SpringMVC中，也提供了相应的文件上传安全策略。通过在spring配置文件中的bean中添加以下内容，可以较为有效地防范文件上传漏洞。

<bean id="multipartResolver" class="org.springframework.web.multipart.commons.CommonsMultipartResolver">
    <property name="maxUploadSize" value="10240" />       //上传文件最大大小
    <property name="defaultEncoding" value="utf-8" />    //上传文件编码方式
    <property name="resolveLazily" value="true" />       //是否延迟解析（默认为true）
</bean>
<mvc:interceptors>
    <!-- 文件大小限制 -->
    <bean class="com.example.interceptor.FileSizeLimitInterceptor">
        <property name="maxSize" value="1048576" />
    </bean>
    <!-- 文件存储路径 -->
    <bean class="com.example.interceptor.FilePathInterceptor">
        <property name="path" value="/WEB-INF/upload/" />
    </bean>
    <!-- 文件内容校验 -->
    <bean class="com.example.interceptor.FileMD5Interceptor" />
</mvc:interceptors>

以上代码中，CommonsMultipartResolver是SpringMVC提供的文件上传解析器，用来解析上传的文件。其中，maxUploadSize属性表示文件上传最大限制，默认是10240字节；defaultEncoding属性表示上传文件使用的编码方式，默认为utf-8；resolveLazily属性表示是否开启延迟解析，可提高服务性能。

通过添加FileSizeLimitInterceptor、FilePathInterceptor、FileMD5Interceptor三个拦截器，实现文件上传漏洞的防范。

3. 结论

文件上传漏洞是一种常见的Web安全问题，在Java Web开发中尤其需要重视。通过文件类型校验、文件大小限制、文件存储路径、文件内容校验等方法，可以有效地保护服务器安全，防范文件上传漏洞的产生。同时，在SpringMVC中，通过添加CommonsMultipartResolver和拦截器等中间件，也可以更加方便地实现文件上传漏洞的防范。