错误的安全配置漏洞是什么

错误的安全配置漏洞是指，由于操作系统、应用服务器、数据库服务器、应用程序、中间件及相关应用程序所使用的框架的不安全配置，造成恶意用户能够利用系统默认账户或默认配置页面，如操作系统、Web服务器、数据库服务器和中间件漏洞，对应用系统进行攻击，如窃取系统敏感信息、尝试控制服务器。一般利用方式是服务器上的文件夹没有设置足够权限要求，允许匿名用户写入文件，攻击者上传木马等病毒来对服务器进行远程操控。

预防错误的安全配置漏洞措施有以下这些：

• 文件上传的目录设置为不可执行：只要wb容器无法解析该目录下面的文件，即使攻击者上传了脚本文件，服务器本身也不会受到影响。

• 判断文件类型：在判断文件类型时，可以结合使用ME下yp、后缀检查等方式。在文件类型检查中，强烈推荐白名单方式，黑名单的方式已经无数次被证明是不可靠的。此外，对于图片的处理，可以使用压缩函数或者res立e函数，在处理图片的同时破坏图片中可能包含的HTML代码。

• 使用随机数改写文件名和文件路径：文件上传如果要执行代码，则需要用户能够访问到这个文件。在某些环境中，用户能上传，但不能访问。如果应用了随机数改写了文件名和路径，将极大地增加攻击的成本。再来就是像shel.php.rar.rar和crossdomain.xml这种文件，将因为重命名而无法攻击。

• 单独设置文件服务器的域名：由于浏览器同源策略的关系，一系列客户端攻击将失效，比如上传crossdomain.xml、上传包含Javascript的XSS利用等问题将得到解决。

• 使用安全设备防御：文件上传攻击的本质就是将恶意文件或者脚本上传到服务器，专业的安全设备防御，此类漏洞主要是通过对漏洞的上传利用行为和恶意文件的上传过程进行检测。恶意文件千变万化，隐藏手法也不断推陈出新，对普通的系统管理员来说可以通过部署安全设备来帮助防御。

• 实施漏洞扫描和审计以对安全配置情况进行检测：检查文件目录访问权限是否符合最小化原则，检查所有与验证和权限有关的设定，是否在Web数据库服务器上运行其他服务，主机、数据库、Web服务器和中间件是否保持自动更新等。