OWASP CRS 文件名空白填充绕过文件上传检测漏洞

根据用户的要求，我需要从提供的网页截图中提取关于漏洞的关键信息，并用简洁的中文markdown格式进行总结。 1. 漏洞概述 (Vulnerability Overview): 标题: Whitespace padding in filenames bypasses file upload extension checks (文件名中的空白填充绕过文件上传扩展名检查)。 描述: 这是一个在 OWASP CRS (OWASP Core Rule Set) 中识别出的问题。它允许上传带有危险扩展名（如 .php, .phtml, .phtml.php）的文件，通过在文件名末尾添加不可见的空白字符（whitespace padding）。 原理: 攻击者利用某些 Web 服务器（如 Apache）在解析文件名时会自动去除末尾空白字符的特性。当文件被上传时，CRS 规则检查的是带有空白字符的文件名（例如 ），因此规则匹配失败（false negative）。当文件被请求执行时，Web 服务器去除了空白字符，将其视为 ，从而执行了恶意代码。 CVSS 评分: 8.8 / 10 (High)。 2. 影响范围 (Affected Scope): 受影响版本: OWASP CRS 4.2.5.0 和 3.3.9。 受影响规则: 规则 933110 (PHP Script File Upload Detection - PL1) 规则 933111 (PHP Double-Encoded File Uploads - PL3) 规则 942440 (PHP File Upload Detection - PL4) 受影响环境: 所有使用 OWASP CRS 3.x 或 4.x 版本的应用程序，且这些应用程序处理文件上传。特别是那些在 Linux 上运行且 Web 服务器（如 Apache）会自动去除文件名末尾空白字符的环境。 3. 修复方案 (Fix/Patch): 官方补丁: 通过添加 转换（transformation）到受影响的规则中，确保文件名不包含末尾空白字符。 具体规则更新: 规则 933110 (for rule 933110) 规则 933111 (for rule 933111) 规则 942440 (for rule 942440) 规则 921080 (for rule 921080) Workarounds (临时解决方案): 在应用程序级别验证文件名（例如，在上传前去除末尾空白）。 配置 Web 服务器以拒绝上传带有空白字符的文件名。 配置 Web 服务器以在请求执行前去除文件名中的空白字符。 在 Linux 上，使用 和 模块，在文件被请求执行前，通过添加 规则（如 ）来去除空白字符。 4. 代码/POC 提取: 页面中没有提供具体的 POC 代码块，只提到了规则 ID 和修复用的正则表达式 。 5. 总结结构: 标题 漏洞概述 影响范围 修复方案 (无代码块，因为页面主要是规则描述和修复建议，没有具体的攻击脚本) 现在，我将把这些信息整理成最终的 Markdown 输出。 漏洞总结：OWASP CRS 文件名空白填充绕过 漏洞概述 漏洞名称: Whitespace padding in filenames bypasses file upload extension checks (文件名中的空白填充绕过文件上传扩展名检查)。 描述: 这是一个在 OWASP CRS (Core Rule Set) 中发现的逻辑漏洞。攻击者可以在上传文件名的末尾添加不可见的空白字符（whitespace padding）。 原理: 上传阶段: OWASP CRS 规则检查带有空白字符的文件名（例如 ），导致规则匹配失败（False Negative），允许文件上传。 执行阶段: 某些 Web 服务器（如 Apache）在解析文件名时会自动去除末尾的空白字符。当文件被请求执行时，服务器将其视为 ，从而执行了恶意代码。 CVSS 评分: 8.8 / 10 (High)。 影响范围 受影响组件: OWASP CRS (Core Rule Set)。 受影响版本: 4.2.5.0 3.3.9 受影响规则: (PHP Script File Upload Detection - PL1) (PHP Double-Encoded File Uploads - PL3) (PHP File Upload Detection - PL4) 受影响环境: 所有使用 OWASP CRS 3.x 或 4.x 版本的应用程序，特别是那些在 Linux 上运行且 Web 服务器会自动去除文件名末尾空白字符的环境。 修复方案 官方补丁: 在受影响的规则中添加 转换，确保文件名不包含末尾空白字符。 涉及规则更新： , , , 。 临时解决方案 (Workarounds): 应用层验证: 在应用程序级别验证文件名，在上传前去除末尾空白。 Web 服务器配置: 配置 Web 服务器以拒绝上传带有空白字符的文件名。 Web 服务器配置: 配置 Web 服务器以在请求执行前去除文件名中的空白字符。 ModSecurity 配置**: 在 Linux 上，使用 和 模块，在文件被请求执行前，通过添加 规则（如 ）来去除空白字符。 代码/规则片段 页面未提供具体的攻击 POC 代码，但提供了修复规则中使用的正则表达式转换：

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

OWASP CRS 文件名空白填充绕过文件上传检测漏洞

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

OWASP CRS 文件名空白填充绕过文件上传检测漏洞

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！