如何 防御文件上传漏洞，具体方法

文件上传漏洞的防御主要从以下几个方面考虑：

1. 前端检测：在前端用JS脚本做检测，如检测文件后缀名等。

2. 服务器端检测：

① MIME类型检测：比如GIF图片MIME为image/gif，CSS文件的MIME为text/css。

② 文件后缀名检测，如设置黑白名单。

③ 文件内容检测图片二次渲染。（最变态的文件上传漏洞防御方式）

3. 检查文件上传路径：避免被0x00截断、IIS6.0文件夹解析漏洞、目录遍历。

4. 文件重命名，包括文件名及其扩展名：利用随机字符串或时间戳等方式进行命名，防止攻击者得到WebShell的路径。

5. 将其存放路径和文件名存放在数据库中，系统使用文件时，通过查询数据库动态获取。

6. 检验是否存在条件竞争的逻辑漏洞。