内容摘要：一个不起眼的文件上传框，就能让整台服务器沦为别人的肉鸡。这不是危言耸听——2019年某云厂商曝出的任意文件写入漏洞，攻击者只往用户目录塞了个.ssh/authorized_keys文件，就拿到了roo

一个不起眼的文件文件上传框，就能让整台服务器沦为别人的操作肉鸡。这不是漏洞危言耸听——2019年某云厂商曝出的任意文件写入漏洞，攻击者只往用户目录塞了个.ssh/authorized_keys文件，对计就拿到了root权限。算机文件操作漏洞的有危杀伤力，往往就藏在这种“看起来只是文件读读写写”的日常功能里。

最直接的操作危害是数据裸奔。当程序没有严格校验用户传入的漏洞文件路径，../../etc/passwd这种目录穿越就能把系统密码文件拖出来。对计更阴险的算机是配合日志注入——攻击者往日志文件里写入一段PHP代码，再通过另一个包含漏洞把日志当脚本执行，有危整个过程悄无声息。文件我见过某后台管理系统，操作仅仅因为导出功能没过滤zip包内的漏洞符号链接，就被套走了整个数据库备份。

文件操作漏洞还会成为权限提升的跳板。普通用户能通过竞态条件（TOCTOU）在程序检查文件和写入文件之间偷换对象——比如把临时文件替换成/etc/sudoers的符号链接。这类攻击不依赖系统自身漏洞，纯靠业务代码的时序疏忽，杀毒软件根本无从检测。2017年某Linux发行版曝出的本地提权漏洞，就是利用rm命令处理临时目录时未检查符号链接，让任何本地用户都能瞬间变成root。

有些文件操作漏洞甚至能直接瘫痪整个系统。攻击者构造特殊的文件系统路径（比如超长文件名、非法字符），让程序陷入死循环或内存耗尽。我测试过某开源CMS的上传功能，只要文件名包含::$DATA这种NTFS流语法，就能让Windows服务器的磁盘写入直接崩溃。更损的是利用磁盘配额——往临时目录疯狂写入小文件，直到填满inode，让整个服务器连创建新文件都做不到，这比DDoS还省事。

别忘了文件操作漏洞还能当“跳板”用。攻击者先通过一个文件读取漏洞拿到web服务的源码，从中分析出数据库密码，再通过文件写入漏洞往定时任务目录塞个反弹shell脚本——一套组合拳下来，内网渗透的入口就打开了。我见过最极端的案例，攻击者只利用一个图片上传功能（未检测文件头），就成功上传了包含恶意代码的.htaccess文件，让整个目录的jpg图片都变成可执行脚本。

修复这类漏洞不能只靠过滤特殊字符。真正的根本解法是：用白名单校验扩展名、用随机文件名存储、对文件操作使用最小权限账户、开启SELinux/AppArmor约束进程能力。但最关键的还是开发者思维转变——别把任何用户输入当“文件名”，而要当“不可信数据”来处理。毕竟，一个能读写文件的漏洞，就等于把系统大门的钥匙交了一半出去。