当开发人员使用了不安全的文件上传组件，如包含缺陷的三方编辑器；或者编码过程没有考虑对上传的文件类型进行检查和限制的时候，任意文件上传漏洞就产生了。
文件上传功能简单来说就是，用户利用文件上传页面，将上传的文件通过浏览器发送至服务器上进行保存。而当任意文件上传漏洞存在时，攻击者能够上传任意文件，如脚本文件、webshell到Web服务器中，进而获取到Web应用服务器的对应权限。
典型的恶意文件如“一句话木马”。所谓一句话木马，指的是一句话脚本，其代码“短小精悍”，上传到Web服务器后，可以执行，并支持使用后门工具（如中国菜刀）进行远程交互，从而使得攻击者可以控制Web服务器。
转载请注明：XAMPP中文组官网 » 任意文件上传漏洞分析