不验证文件，安全问题？

Question

我刚刚阅读this documentation并遇到以下句子：“未验证您操作的文件可能意味着用户可以访问其他目录中的敏感信息。”

首先，它没有解释在这种情况下构成“验证”的内容，因此我希望有人能够为我澄清这一点。

最后，如果用户没有“验证”他们正在操作的文件，用户究竟能够如何访问其他目录？

Answer 1

这意味着如果您不验证上传的文件，您可能打开自己，只需上传PHP脚本。

根据您是否将该文件放在webroot中的可访问位置，将确定用户/攻击者是否可以运行它。

因此，如果您期望图像，请检查其图像。如果你期望.xml检查它的xml文件。

问题的第二部分，一旦有了后门，就可以轻松遍历文件系统。