文件上传漏洞的危险性在于，攻击者一旦成功上传一个可执行脚本（如PHP、JSP、ASP等），就能在服务器上执行任意代码，进而获取敏感数据、植入后门甚至控制整台服务器。单纯依靠应用层过滤往往不够，因为扩展名、MIME类型、文件头等检查都可能被绕过。因此，在CentOS这类Linux服务器上做好系统级和中间件级的加固，是纵深防御体系中不可或缺的一环。
一、文件系统权限：让上传目录无法执行脚本
Linux文件系统权限是阻止恶意脚本执行的第一道屏障。Web应用通常将用户上传的文件保存在某个特定目录下，例如/var/www/html/uploads或/data/uploads。如果我们能确保该目录及其子目录下的文件永远不会被Web服务器当作脚本执行，即使攻击者上传了PHP木马，也无法通过HTTP请求触发它。
对于使用Apache + mod_php的场景，PHP解析是通过Apache模块完成的，文件是否执行取决于Apache的配置（如AddHandler、AddType等）。此时仅靠文件系统权限还不够，需要配合Apache的目录指令。但对于使用Nginx + PHP-FPM的场景，PHP解析请求会发送到后端的PHP-FPM进程，如果上传目录被配置为不匹配PHP的location规则，Nginx会直接返回文件内容而不是执行它。因此，从文件系统层面，我们可以做两件事：第一，将上传目录的所有者设置为Web服务器运行用户（如apache或nginx），但权限设置为755或更严格的750，不允许其他用户写入；第二，更重要的是，明确禁止该目录下的文件具有可执行权限，即挂载时使用noexec选项。
通过mount命令或/etc/fstab可以实现noexec挂载。例如，假设上传目录单独挂载在/data/uploads，可以执行：
mount -o remount,noexec /data/uploads
如果上传目录不是独立分区，也可以使用bind mount配合noexec，或者将上传目录软链接到带有noexec的挂载点。不过需要注意，noexec会阻止该分区内所有文件的直接执行，但对于脚本解释器（如PHP）通过读取文件内容再解释执行的情况并不能完全阻止，因为解释器读取的是文件内容，而非执行文件本身。所以这种方法对PHP等解释型语言效果有限，但对二进制可执行文件非常有效。因此，必须结合中间件配置才能真正杜绝脚本执行。
二、Web服务器配置：从源头拒绝脚本解析
Apache和Nginx都能通过配置指令精确控制哪些目录允许执行脚本，哪些目录禁止执行。对于Apache，可以在上传目录的.htaccess文件或虚拟主机配置中添加以下指令，移除所有PHP处理器：
<Directory "/var/www/html/uploads">
php_admin_flag engine off
RemoveHandler .php .phtml .php3 .php4 .php5 .php7 .phps
RemoveType .php .phtml .php3 .php4 .php5 .php7 .phps
<FilesMatch ".(php|phtml|php3|php4|php5|php7|phps)$">
Require all denied
</FilesMatch>
</Directory>
其中php_admin_flag engine off仅在使用mod_php时有效；如果使用PHP-FPM，则RemoveHandler足以让Apache不再将请求转发给PHP-FPM。而FilesMatch指令则进一步拒绝任何对PHP文件的访问，防止通过其他方式触发解析。
对于Nginx，配置思路类似，但语法不同。通常需要在server块中专门为上传目录添加一个location，并明确禁止执行PHP：
location ^~ /uploads/ {
location ~ .php$ {
deny all;
}
# 其他处理，如直接返回图片或附件
try_files $uri =404;
}
这里使用了^~修饰符，确保该location优先于其他正则匹配。内部的location ~ .php$会拦截所有以.php结尾的请求并返回403。此外，还可以配置fastcgi_param限制，或者干脆在上传目录的location中不包含任何fastcgi_pass，这样即使请求到达该location也不会交给PHP-FPM。
另一个重要措施是限制上传文件的大小和类型。在Nginx中可以通过client_max_body_size限制请求体大小，在Apache中则使用LimitRequestBody。对于文件类型，虽然服务器层面的MIME检查容易被伪造，但可以作为第一道过滤。例如，在Apache中使用mod_security进行更细粒度的规则匹配，拦截包含恶意内容的请求。
三、PHP运行时加固：降低漏洞利用成功率
即使攻击者成功上传了PHP脚本，如果PHP本身配置得当，许多危险功能也会被禁用，从而限制攻击者的操作。CentOS默认的PHP配置文件位于/etc/php.ini，我们可以修改以下关键参数：
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source allow_url_fopen = Off allow_url_include = Off open_basedir = /var/www/html:/tmp upload_tmp_dir = /var/tmp/php_upload file_uploads = On upload_max_filesize = 2M max_file_uploads = 5
这里disable_functions禁用了大量直接执行系统命令的函数，这是防止攻击者通过上传的PHP脚本执行system()、exec()等命令的关键。allow_url_fopen和allow_url_include关闭后，可以阻止远程文件包含漏洞的利用。open_basedir将PHP的文件操作限制在指定目录内，即使脚本被上传到上传目录，攻击者也无法读取/etc/passwd等系统文件。
此外，还应该设置upload_tmp_dir到一个专用的临时目录，并确保该目录同样位于open_basedir允许范围内。同时，将upload_max_filesize和post_max_size设置为合理的小值，减少大文件上传带来的资源消耗攻击。
如果使用PHP-FPM，还需要检查php-fpm.conf或www.conf中的security.limit_extensions参数，确保只允许.php文件被解析执行。例如：
security.limit_extensions = .php
这样可以防止攻击者上传.phtml、.php5等扩展名的文件被当作PHP执行。同时，要确保Web服务器与PHP-FPM通信时，传递的SCRIPT_FILENAME参数正确，避免解析任意文件。
四、启用SELinux和Auditd进行强制访问控制与审计
CentOS默认启用SELinux，它能提供强大的强制访问控制。对于Web服务器，SELinux的httpd策略已经定义了许多规则，例如httpd进程只能访问标记为httpd_sys_content_t类型的文件。当上传目录中的文件类型不正确时，httpd进程可能无法读取或执行它们。
我们可以使用chcon或semanage命令调整上传目录的SELinux上下文。通常，上传目录中的文件应被标记为httpd_sys_rw_content_t（可读写但不可执行）而非httpd_sys_content_t（只读）或httpd_exec_t（可执行）。例如：
semanage fcontext -a -t httpd_sys_rw_content_t "/var/www/html/uploads(/.*)?" restorecon -Rv /var/www/html/uploads
这样SELinux会阻止httpd进程执行上传目录中的任何文件，即使配置有误也会被强制阻断。同时，可以利用auditd记录所有文件访问和权限拒绝事件，通过分析审计日志快速发现攻击尝试。
在实际运维中，还应该定期检查上传目录中的文件，使用find命令找出可疑文件（如包含PHP代码的图片）。例如：
find /var/www/html/uploads -type f -exec file {} ; | grep -i php
结合上述多层配置，CentOS系统能够为Web应用程序提供坚实的文件上传安全防线。需要注意的是，系统层加固不能替代应用层代码的正确编写，两者必须配合才能有效抵御文件上传漏洞。
文件上传漏洞CentOS安全配置Web服务器加固修改时间：2026-08-19 09:17:10