我正在开发一个涉及文件上传到服务器的项目 . 我有兴趣了解病毒编写者目前倾向于定位的文件类型 . 我知道以下主题：
How would you programmatically test a file for viruses ? ensuring uploaded files are safe How can I determine a file’s true extension/type programatically? Server side virus scanning
但我对发现常见的攻击媒介感兴趣 .
4 回答
他们都是 . a JPG image can infect you with a virus时没有任何"safe"文件类型，无论其声明的类型如何，您甚至可以trick the browser to execute JavaScript in any file .
但最大和最普遍的危险甚至不涉及上传的文件 - 用户输入并显示在您的页面上的任何文本都是Cross-Site-Scripting攻击的潜在载体 .
我运行了一段“上传文件”表格一段时间以及我发现的一些事情：
各种各样的PHP脚本（shell，重定向，各种"owned by $LAMER"，你的名字）
我想我有一些浏览器漏洞（.html，.jpgs）
一堆扩展错误的文件（即扩展名为.rar的PHP脚本，希望服务器的mime-type guesser做错了）
Zip文件已满以上所有内容
无论如何，这些只是我发现的一些事情 . 希望他们有所帮助 .
.exe和.scr是最常见的文件类型 . 此外，还有像“readme.txt.scr”或“readme.doc.exe”这样的双重扩展的“技巧”
exe可能是最常见的