在静态目录和文件上设置755，是否可以上传和执行恶意脚本？

Question

假设有一个网站，其中的静态目录和文件设置为755，并且有一个公共接口可以将任何类型的文件上传到目录中。服务器使用在目录上设置Require all granted的apache。

1. 是否可以上传一些脏脚本并在服务器上执行？
2. 我认为这可以被利用来执行XSS。这是对的吗？
3. 在保持网站安全的同时，实施界面上传新静态文件（如图片）的最佳做法是什么？

Answer 1

<强> 1/3：
755基本上意味着目录的所有者只是允许在该目录中创建新文件的用户。

如果目录的所有者和web-server / php-server /？运行和该用户，然后是允许创建新文件并执行一般更改。

简短回答：
保护网站的最常用方法是让一个单独的用户拥有文件和目录a，在目录等上使用chmod 755并使用SFTP上传内容。

<强> 2
XSS漏洞通常不包括需要写访问权限，而是操纵脚本输入变量，这些变量可能是逐字打印出来的等等。